리버싱 예제 :: ollydbg -01 CrackMe

(abexcm1.exe 예제)

 

 

문제는 간단하다.

 

이 안내 메시지 다음에 출력되는 안내 메시지가 

 

 

"Ok, I really thick that your HD is a CD_ROM! :p"

 

이거면 된다.

 

아무것도 하지 않고 실행시키면 이 메시지가 뜬다.

 

 

 

(풀이)

 

먼저, 코드를 살펴보면

 

 

어떤 조건을 만족시킨다면 맨 마지막 "Ok, I really thick that your HD is a CD_ROM! :p" 가 출력됨을 알 수 있다.

 

 

호출되는 함수들을 보니 GetDriveTypeA 가 있고, 이 API 가 리턴하는 값에 따라서 출력값이 달라짐을 알 수 있다.

 

 

해결 방법은 많겠지만, 두 가지 방법으로 풀어보았다.

 

 

1) 코드 수정

 

CMP EAX, ESI  에서 두 레지스터의 값을 비교한다.

 

 

그 후 EAX 와 ESI 의 값이 같다면 (ZF 가 0 일 때) 점프한다.

 

지금은 같지 않아서 점프하지 않기 때문에, 명령어를 반대로 JNE 로 바꿔주었다.

 

그렇게 저장해주면 성공 ! 원하는 메시지창을 얻을 수 있다.

 

 

 

 

 

 

2) GetDriveTypeA 함수 리턴값 수정

 

먼저 이 API 함수에 대한 정보를 살펴보자.

https://docs.microsoft.com/ko-kr/windows/win32/api/fileapi/nf-fileapi-getdrivetypea?redirectedfrom=MSDN

 

 

함수의 리턴값이 5 면 CD-ROM 으로 인식함을 알게 되었다.

 

나중에 ESI 와 비교하는데, ESI 는 00401000 이기 때문에 00401005 로 EAX 를 수정해준다.

 

(원래는 00000005 면 되겠는데.. 왜 이런지는..)

 

 

GetDriveTypeA 함수가 실행되는 곳에서 F7 로 함수 내부로 들어간다.

 

실행하다가 Ctrl + F9 로 함수 리턴으로 바로 넘어가서 EAX 값을 수정해준다.

 

 

 

 

이제 함수를 나와서 main 에서 CMP 부분으로 간다.

 

Register Window 에 나오다시피 EAX 와 ESI 가 값이 같다. 

역시나 CMP 를 하니 ZF 가 1 이 되고, 성공적으로 원하는 메시지창을 얻는다.!!

 

 

 

 

 

다만 이 방법은 저장할 수가 없어서.. 아쉽지만 일단은 이렇게 마무리한다.