코드엔진 Basic 19

Challenges : Basic 19

Author : CodeEngn

KO : 이 프로그램은 몇 밀리세컨드 후에 종료 되는가 
EN : How many milliseconds does it take for this program to terminate 

http://codeengn.com/challenges/basic/19

프로그램을 실행하면 위와 같은 메시지가 나오고 종료된다.

'대충 저 메시지의 문구를 기점으로 분석하면 되겠지' 라는 생각을 가지고 분석 ㄱㄱ.

UPX로 패킹되어 있는 것을 확인 후, 언패킹 ㄱㄱ.

언패킹 후 분석하다보면 위와 같은 메시지가 나온다.

그냥 실행했을 때에는 나오지 않았던 메시지인데 디버깅하니까 나온 것을 보면 안티 디버깅이 활용되었음을 알 수 있다.

다행히 IsDebuggerPresent() 함수만 있을 뿐이였다.

전에도 나왔던 안티 디버깅 기법이니 쉽게 넘길 수 있다.

이것만 해체해주면 쉬울 줄 알았는데 생각보다 오래 걸렸다.

우선 처음에 짐작했던 '메시지 문구 주변 분석'이 잘못 되었다.

슈방..

그래서 방법을 바꾸어 함수 주변을 분석하기로 했다.

문제 자체가 '얼마나 오랜 시간이 지나야 프로그램이 종료되는가'이니 Sleep() 함수가 쓰였음을 예상해본다.

위처럼 프로그램에 쓰인 모든 Sleep 함수에 브레이크 포인트(BP)를 설치하고 F9를 누른다.

그런데 예상과 달리 별다른 성과를 얻지 못 했다.

'그렇다면 다른 함수를 찾아 BP를 걸어보자'라는 생각으로 존나게 찾았다.

timeGetTime() 함수 발견.

Sleep() 함수처럼 모든 함수에 BP를 설치.

걸리는게 있다.

우선 timeGetTime() 함수는 시스템 시간을 밀리 세컨드 단위로 리턴한다.

참고

처음 timeGetTime() 함수를 사용해서 ESI에 저장하고, 그 다음 한 번 더 timeGetTime() 함수를 호출해서

위와 같이 그 둘을 뺀다.

그리고 DWORD PTR DS:[EBX+4]의 값보다 작으면 계속해서 반복한다.

즉, DWORD PTR DS:[EBX+4]의 값이 되면 프로그램이 종료되는 조건을 충족시키게 된다는 것이다.

슈발 끝.

존나 삽질만 했다.

예전에 이거 쉽게 푼 것 같은데 왜 이번엔 빙빙 시간 오래 걸려 풀었는지 모르겠다.