[ 리버싱 / 프로그래밍 / 음악 / 게임 / 그 외... ]



화요일, 2월 14, 2017



안드로이드쪽 공부하면서 바이너리 분석도 같이 보고 있는데...

ELF 포맷에 ARM 타입의 바이너리가 많더군요.. @_@;;;

IDA Pro 를 장만할(?) 여력은 안되고... -_-;;;

이것저것 뒤져보다 ARM 지원하는 디스어셈블 엔진(Capstone Engine)이 있길래...

요걸로 간단한 디스어셈블러 만들어보자~~ 는 생각으로 작업을 했습니다.


디스어셈블 엔진을 사용하려는데 파일의 어느 부분이 코드영역인지 몰라서... -_-;;;;;

또 ELF 포맷 문서를 한참 들여다봤네요...

공부한 내용을 바탕으로 C++ Builder 로 뚝딱뚝딱~~ (이라 쓰고 삽질이라고 읽...;;; )


ELF 포맷 - Info View

Hex View

Disasm View


디스어셈블은 섹션 중 Execute 플래그가 있는 부분만 하도록 했는데...

ELF 포맷에 대한 이해도가 부족하다보니 요렇게 하는게 맞는건지 모르겠네요...ㅋ ^^;;;

좀 더 공부를 해야겠어요... @_@;;...



[ Simple ELF View 다운로드 ]






일요일, 2월 05, 2017



안드로이드 앱을 만들어 보고 싶어서 '안드로이드 스튜디오 (2.2.3)'를 설치하고~

버벅대며 이것저것 만져봤습니다.


버튼 위젯을 하나 올려놓고 테스트를 하던 중...

버튼 텍스트를 영어로 할 땐 문제가 없는데, 한글로 할 떄 글자가 깨지는 현상이 발생하더군요.. @_@;

한글이 안보인다.. oTL


구글을 통해 찾아보니 기본 한글 폰트 설정이 잘못되어 있어서 폰트를 읽어오지 못하기 때문에...

글자가 깨진다고 하더군요.


안드로이드 스튜디오 레이아웃 폰트 관련 폴더

fonts.xml 파일의 내용


안드로이드 스튜디오가 설치된 폴더의 "plugins\android\lib\layoutlib\data\fonts" 폴더의

fonts.xml 에 레이아웃 디자인 시 사용되는 폰트들이 설정되어 있는데...

한글인 경우 "NotoSansCJK-Regular.ttc" 폰트로 되어 있습니다.

그런데 이 폴더에는 "NotoSansCJK-Regular.ttc" 폰트가 없더군요... =_=;;;; ??

한글을 처리할 수 있는 폰트가 없어서 글자가 깨지는거죠... oTL;;

그럼 한글을 처리할 수 있는 폰트를 지정해주면 문제가 해결이 되겠죠~? :)



가장 간단한(?) 방법은 기본 지정된 폰트를 다른 걸로 바꿔주는 겁니다.

"나눔고딕" 폰트를 사용하기


다행히도 레이아웃 폰트 관련 폴더에 "나눔고딕(NanumGothic.ttf)" 폰트가 이미 포함되어 있습니다.

fonts.xml 파일에서

<family lang="ko">
    <font weight="400" style="normal" index="1">NotoSansCJK-Regular.ttc</font>
</family>
이렇게 되어있는 부분을

<family lang="ko">
    <font weight="400" style="normal">NanumGothic.ttf</font>
</family>
이렇게 바꿔주면 되는거죠~ :)

일단 요렇게만 해도 레이아웃 화면에서 한글은 잘 나오더군요...



다른 방법으로는 "NotoSansCJK-Regular.ttc" 폰트를 추가해주는 방법이 있습니다.

"NotoSansCJK-Regular.ttc" 폰트를 추가하기


"NotoSansCJK" 폰트는 구글의 NotoSansCJK 페이지 에서 구할 수 있습니다.

[ NotoSansCJK-Regular 폰트 다운로드 ]


ZIP 파일 압축을 풀고 "NotoSansCJK-Regular.ttc" 파일을 레이아웃 폰트 폴더에 복사를 한 다음..

레이아웃 폰트 폴더의 "fontsInSdk.txt" 파일을 열어서 내용을 추가해줍니다.

fontsInSdk.txt 파일에 "NotoSansCJK-Regular.ttc" 추가

폰트만 복사하고 "fontsInSdk.txt" 파일에 내용 추가를 하지 않으면 인식이 되지 않으니...

꼭~ 추가해 주셔야 됩니다 @_@;;


두 방법 중 입맛에 맞는 방법으로 해결을 하시면 되겠습니다. ^^:;;

한글이 잘보인다.. @_@





월요일, 1월 30, 2017



리버싱을 하다보면 필요에 따라 자신만의 툴을 만드는 경우가 종종 있습니다.

툴을 만들다보면 윈도우 API 를 사용해야 할 때가 있는데...

파이썬에서 ctypes 로 윈도우 API 를 사용하는 방법을 정리해봤습니다.


우선은 ctypes 와 ctypes.wintypes(자료형 모음) 를 임포트 해줍니다.

from ctypes import *
from ctypes.wintypes import *


윈도우 API  는 대체로 windll 을 이용하면 되는데요~

아래처럼 모듈 이름과 함수 이름을 적어주면 됩니다.

# Type 1
GetModuleFileName = windll.kernel32.GetModuleFileNameW
GetModuleHandle = windll.kernel32.GetModuleHandleW

# Type 2
Kernel32 = windll.kernel32

GetModuleFileName = Kernel32.GetModuleFileNameW
GetModuleHandle = Kernel32.GetModuleHandleW


입력하기 쉽게 "GetModuleFileName", "GetModuleHandle" 로 했을 뿐...

windll.kernel32.GetModuleFileNameW / Kernel32.GetModuleFileNameW 이나

windll.kernel32.GetModuleHandleW / Kernel32.GetModuleHandleW 를 그대로 사용해도 됩니다.

사용하려는 API 가 많을 경우 Type 2 처럼 사용하는게 더 편하지 않을까 생각되네요 ^^;;;


API 사용 예 #1 - GetModuleHandleW

from ctypes import *
from ctypes.wintypes import *

Kernel32 = windll.kernel32

print("[*] GetModuleHandleW [*]")
Kernel32_BaseAddr = Kernel32.GetModuleHandleW("KERNEL32.DLL")
print("    - KERNEL32.DLL = 0x%X" % Kernel32_BaseAddr)

GetModuleHandleW 호출 결과

가장 단순한 형태의 사용 예입니다. 그냥 인자를 넣어주기만 하면 되는거죠~ :)

참고로 64비트 파이썬에서는 GetModuleHandleW 를 호출하기 전에...

restype 을 직접 지정해줘야 주소값을 제대로 가져옵니다.

Kernel32.GetModuleHandleW.restype = c_void_p
Kernel32_BaseAddr = Kernel32.GetModuleHandleW("KERNEL32.DLL")


API 사용 예 #2 - GetModuleFileNameW

from ctypes import *
from ctypes.wintypes import *

Kernel32 = windll.kernel32

path = create_unicode_buffer(MAX_PATH)

print("[*] GetModuleFileNameW [*]")
Kernel32.GetModuleFileNameW(0, path, MAX_PATH)
print("    - Path = %s" % path.value)

GetModuleFileNameW 호출 결과

윈도우 API 중에는 GetModuleFileName 처럼 데이터를 담을 버퍼를 인자로 받아서

그 버퍼에 데이터를 넘겨주는 방식도 있습니다.


create_string_buffer, create_unicode_buffer 로 데이터를 담을 수 있는 객체를 만들 수 있는데요...

create_string_buffer 는 C 언어의 "char *", 파이썬의 "bytes" 와 대응되며,

create_unicode_buffer 는 C 언어의 "wchar *", 파이썬의 "str" 과 대응됩니다.

~A 계열 함수를 사용할 때는 create_string_buffer 를 사용하고,

~W 계열 함수를 사용할 때는 create_unicode_buffer 를 사용하면 됩니다.

객체에 담겨진 실제 데이터는 value 를 통해 얻을 수 있습니다.

create_string_buffer / create_unicode_buffer


API 사용 예 #3 - CreateProcessW

from ctypes import *
from ctypes.wintypes import *


class PROCESS_INFORMATION(Structure):
    _fields_ = [("hProcess", HANDLE),
                ("hThread", HANDLE),
                ("dwProcessId", DWORD),
                ("dwThreadId", DWORD)]


class STARTUPINFO(Structure):
    _fields_ = [('cb', DWORD),
                ('lpReserved', LPWSTR),
                ('lpDesktop', LPWSTR),
                ('lpTitle', LPWSTR),
                ('dwX', DWORD),
                ('dwY', DWORD),
                ('dwXSize', DWORD),
                ('dwYSize', DWORD),
                ('dwXCountChars', DWORD),
                ('dwYCountChars', DWORD),
                ('dwFillAttribute', DWORD),
                ('dwFlags', DWORD),
                ('wShowWindow', WORD),
                ('cbReserved2', WORD),
                ('lpReserved2', LPBYTE),
                ('hStdInput', HANDLE),
                ('hStdOutput', HANDLE),
                ('hStdError', HANDLE)]


Kernel32 = windll.kernel32

startupinfo = STARTUPINFO()
processinfo = PROCESS_INFORMATION()

print("[*] CreateProcessW [*]")
Kernel32.CreateProcessW("C:\\Windows\\NOTEPAD.exe", None, None, None, 0, 0,
                        None, None, byref(startupinfo), byref(processinfo))
print("    - hProcess = %X" % processinfo.hProcess)
print("    - dwProcessId = %d (%X)" % (processinfo.dwProcessId, processinfo.dwProcessId))

CreateProcessW 호출 결과

앞의 두 예제와 비교하면 코드의 양이 꽤 깁니다...;;; ( 이게 다 구조체 때문임.. =_=;;;; )


파이썬은 C 언어의 '구조체' 를 그대로 사용할 수 없기 때문에...

'구조체' 를 인자로 받는 API 를 사용하기 위해서는 추가 작업이 필요합니다.

ctypes 의 "Structure" 클래스를 상속받아서 임의의 클래스를 만든 다음...

"_fields_" 에 구조체 멤버들을 추가해주면 됩니다.

함수 인자에 참조 연산자('&')를 사용하는 경우가 있는데 파이썬은 "byref" 를 이용하면 됩니다.



이상의 세가지 형태의 API 사용 방법을 숙지하고 있으면...

대부분의 윈도우 API 는 문제없이 사용할 수 있을거라 생각합니다. @_@;;;





화요일, 1월 24, 2017



프로그래밍 전문잡지 "마이크로소프트웨어" 가 다시 돌아왔습니다 :)

예전처럼 월간지 형식은 아니지만 그래도 종이로 인쇄된 책을 넘겨볼 수 있다는 건 정말 반갑네요 ^^


2017년 vol.387


1997년...

같이 놀던 친구의 영향으로 프로그래밍에 관심을 갖기 시작하면서~

프로그래밍 관련 책들을 보기 시작했는데 "마이크로소프트웨어" 도 그 중 하나였습니다.

그 당시는 책 내용을 거의 이해못했던 기억이 나네요... ^^;;;

C 언어 공부를 막 시작했고 printf() 로 문자열 출력하는 것만으로 신세계를 경험했던 수준에서는

너무 어려웠달까요...;;;

1년 정도 지난 후, 기반 지식이 조금 쌓인 후에야 처음에 봤던 내용들이 이해가 가더군요 @_@;;

그 후로는 지금 당장은 어려워도 나중엔 도움이 되겠지 생각하고 정기구독을 하기도 했습니다.
( 실제로 시간이 조금 지난 후에 그 내용들이 도움이 되었다는게... )


2000년 조금 지난 시점에는 "웹" 이 유행하기 시작하면서...

마소의 내용도 웹프로그래밍, DB 등 분야가 다양해지더군요.

책 한 권에 담을 수 있는 내용의 양은 정해져 있는데, 다루는 분야가 넓어진 만큼...

원하는 내용이 많이 줄어드는 걸 느꼈습니다.

책 한 권 안에 볼 내용이 하나도 없는 경우도 있더군요...;;;


그 후로 회사 생활을 시작하면서 회사에서 정기구독을 하면 회사에서 보고~

업무 분야(보안, 리버싱 등...)의 내용이 담기거나 지인이 기고를 하면 한번씩 구매를 했네요..;;

어쨌든 필요한 정보도 얻고 나름 도움도 받았던 잡지가 2015년 12월을 마지막으로 휴간되더군요.
( '휴간'이라 쓰고 '폐간' 이라 읽... )


2015년 마소들


휴간 결정이 난 후로 많은 분들이 아쉬워했고 다시 살리려는 움직임도 많았던 걸로 알고 있는데...

그 결실이 이렇게 맺어진 게 아닌가 싶네요... :)


프로그래밍 전문잡지의 명맥이 계속 유지될 수 있길...





금요일, 1월 20, 2017



대세 드라마 "도깨비" 의 OST 입니다.

멜로디 라인이 제대로 취향저격을...ㅜㅜ...

얼마간 무한반복 할 듯 싶네요.






에일리 - 첫눈처럼 너에게 가겠다

널 품기 전 알지 못했다
내 머문 세상 이토록
찬란한 것을

작은 숨결로 닿은 사람
겁 없이 나를 불러준 사랑

몹시도 좋았다
너를 지켜보고 설레고
우습게 질투도 했던
평범한 모든 순간들이

캄캄한 영원
그 오랜 기다림 속으로
햇살처럼 니가 내렸다

널 놓기 전 알지 못했다
내 머문 세상 이토록
쓸쓸한 것을

고운 꽃이 피고 진 이 곳
다시는 없을 너라는 계절

욕심이 생겼다
너와 함께 살고 늙어가
주름진 손을 맞잡고
내 삶은 따뜻했었다고

단 한번 축복
그 짧은 마주침이 지나
빗물처럼 너는 울었다

한번쯤은 행복하고
싶었던 바람
너까지 울게 만들었을까

모두, 잊고 살아가라
내가 널, 찾을 테니
니 숨결, 다시
나를 부를 때

잊지 않겠다
너를 지켜보고 설레고
우습게 질투도 했던
니가 준 모든 순간들을

언젠가 만날
우리 가장 행복할 그날
첫눈처럼 내가 가겠다

너에게 내가 가겠다



수요일, 1월 11, 2017



일전에 '스카이림 스페셜 에디션' 관련된 내용을 올린 적이 있습니다.

http://www.xeronichs.com/2016/11/SkyrimSE-Achievements-with-MOD.html ]


모드 적용 시 업적 달성 가능하도록 해주는 툴을 만들어야지... 만들어야지... 하다가

요 며칠간 뚝딱뚝딱 만들어봤습니다.


UI 작업할 땐 개인적으로 C++ Builder 를 더 좋아하는데~

스카이림 스페셜 에디션이 64비트 클라이언트라서 어쩔 수 없이 Visual Studio 로..;;;;

( 현재 보유 중인 C++ Builder 스타터 에디션은 64비트를 지원하지 않다보니.. oTL;;; )

예전에는 MFC 도 그럭저럭 썼던거 같은데... 오랜만에 만져보니 뭔가 번거롭더군요..

특히 컨트롤 크기나 배치 등 설정을 세밀하게 하는게 C++ Builder 에 비해서 귀찮습니다;;;




스카이림 실행 파일("SkyrimSE.exe") 파일의 경로를 지정해주고~

"Patch (with Run)" 버튼을 누르면 게임 실행과 동시에 패치를 해줍니다.


참고로 실행 파일을 직접 패치하는 게 아니라 실행된 프로세스의 메모리 코드를 패치하는거라서...

매번 -_-;;; 실행을 해줘야 합니다...

일단 제가 원하는 선에서는 잘 동작하는 관계로 기능 추가가 있을지는 모르겠네요..ㅋㅋ ^^;;;


[ SkyrimSE_AE_Patch 다운로드 ]

[ Visual Studio 2015 재배포 패키지 ]




수요일, 12월 07, 2016



며칠 전입니다...

익명의 어느 분께서 x64dbg 로 crackme 실행파일을 열면 Crash 가 발생한다며...

혹시 그 이유를 아는지 블로그 댓글로 질문을 하셨습니다.

( 참고 - http://www.xeronichs.com/2016/11/attach-helper-x64dbg-plugin.html )

같은 OS 환경인데도 제 PC 에서는 별다른 문제가 없었기에...

플러그인 문제나 다른 외부 프로그램과 충돌이 아닐까~ 추측만 하고 넘어갔었습니다...


이번에 다른 분께서 동일한 문제가 발생한다며 댓글을 남기셨고...

그 분 나름대로 문제가 발생하는 부분까지 찾아내셨습니다... @_@ ;;;

11월 5일 2번째 릴리즈(snapshot_2016-11-05_19-55.zip) 이후로  언어를 '한글' 로 설정하면...

실행파일을 불러올 때 Crash 가 발생한다고 하시더군요.

저는 x64dbg 언어 설정을 처음부터 "영어" 로 맞춰두고 사용을 하다보니 문제가 발생하지 않았던거구요.. ^^;;

확인 차 언어 설정을 '한글' 로 잠깐 바꿔봤더니 Crash 가 발생하더군요... oTL;;;

언어 설정 "한글" 로 하면 파일을 열 때 Crash 발생

조금 더 정확하게 설명하면 x64dbg -> Settings 에서 Events 탭에...

"Entry Breakpoint*"  가 체크가 되어있을 때 Crash 가 발생합니다...

"System Breakpoint*" 를 체크하고 "Entry Breakpoint*" 를 체크하지 않으면 실행이 잘 되더군요..;;

한글 언어 적용 후, "Entry Breakpoint*"  체크 시 Crash 발생


언어 설정을 '영어' 로 하면 문제가 없고, '한글' 로 하면 Crash 발생하는 건...

언어 파일 자체에 뭔가 문제가 있다고 볼 수 있겠죠...

실제로 Crash 문제가 발생하기 시작한 11월 5일 두번째 릴리즈의 한글 언어 파일과...

문제가 발생하지 않는 한글 언어 파일을 비교하면 파일 크기 차이가 꽤 납니다... ;;;

왼쪽은 Crash 발생하지 않는 버전, 오른쪽은 Crash 발생하는 버전

한글 언어 파일에 내용이 추가되면서 뭔가 문제가 생긴 것 같아서 그 부분을 분석해봤습니다.


디버거 UI 에 언어 파일을 적용해주는 함수

위의 함수에서 "GuiTranslateText" 함수를 이용해 현재 적용된 언어 파일의 내용을 구해오도록 되어 있더군요.


Crash 발생하는 원본 문자열

분석한 결과 "%s breakpoint "%s" at %s (%p)!" 라는 문자열을 한글로 출력하려고 할 때...

Crash 가 발생했습니다.

포맷스트링 %s, %s, %s, %p 가 사용되고 이에 대한 실제 값은 ESI(0xA19DCE8)에 있습니다.

포맷스트링 실제 값

첫번째 %s = "INT3"
두번째 %s = "entry breakpoint"
세번째 %s = "<asmjit.EntryPoint>"
네번째 %p = 0x5801EA22

언어 설정이 '영어' 일 때 아래와 같은 문자열이 완성됩니다.

INT3 breakpoint "entry breakpoint" at <asmjit.EntryPoint> (5801EA22)!


언어 설정이 '한글' 인 경우에는...

"%s breakpoint "%s" at %s (%p)!" 문자열이 아래와 같이 변경됩니다.

한글 적용 시 변경된 문자열

한글로는 "%s (%p) 에 %s 중단점 "%s"!" 라는 내용이 됩니다. ( oTL;;;; )


원래 포맷스트링의 순서는 %s, %s, %s, %p 인데...

한글 언어 파일의 내용에는 %s, %p, %s, %s 로 되어있네요.. @_@..!?!?

이 내용이 "_vsnprintf_s" 함수로 들어가면~

마지막 %s 가 엉뚱한 곳에서 문자열을 가져오려고 하다가 실패하고 Crash 가 딱~!!;;

엉뚱한 곳에서 문자열을 찾으려고 함


이 부분이 정상적으로 동작하려면 한글 언어 파일의 포맷스트링도 %s, %s, %s, %p 의 순서로 되어야 됩니다.


일단 제가 확인한 부분은 이 부분인데 다른 부분도 포맷스트링 순서가 일치하지 않을 경우...

얼마든지 Crash 가 발생할 수 있습니다. @_@;;;

한글 언어 파일 만드신 분이 번역을 조금 더 자연스럽게 하려고 하다가...

포맷스트링 부분은 미처 확인 못해서 이런 문제가 발생한게 아닌가 싶네요...

얼른 문제가 수정될 수 있길...





카테고리

가장 많이 본 글

통계

Copyright © XeroNic(HS) BLOG | Powered by Blogger
Design by WP Lift | Blogger Template by NewBloggerThemes.com