[2014 CodeEngn Conference 10] 조제경 - 너도 나도 다같이 리버싱
-
Upload
gangseok-lee -
Category
Education
-
view
389 -
download
8
description
Transcript of [2014 CodeEngn Conference 10] 조제경 - 너도 나도 다같이 리버싱
![Page 1: [2014 CodeEngn Conference 10] 조제경 - 너도 나도 다같이 리버싱](https://reader033.fdocument.pub/reader033/viewer/2022051013/546b2778af795902048b5523/html5/thumbnails/1.jpg)
너도 나도 다같이 리버싱!!!
IDA 분석 정보를 공유합시다!
oroiwww.CodeEngn.com2014 CodeEngn Conference 10
![Page 2: [2014 CodeEngn Conference 10] 조제경 - 너도 나도 다같이 리버싱](https://reader033.fdocument.pub/reader033/viewer/2022051013/546b2778af795902048b5523/html5/thumbnails/2.jpg)
Why?
Ø 더럽게 많은 악성코드 !!!Ø 더럽게 어려운 바이너리 !!!Ø 혼자 못해먹겠다 싶을 때 !!!
![Page 3: [2014 CodeEngn Conference 10] 조제경 - 너도 나도 다같이 리버싱](https://reader033.fdocument.pub/reader033/viewer/2022051013/546b2778af795902048b5523/html5/thumbnails/3.jpg)
Why?
Ø 분석하다가 퇴근하고 싶은데 !!!Ø 같은 팀이 다 퇴근해서 인수 인계 안될 때 !!!Ø 나도 퇴근 좀 해보자 !!!
팀원 감시??
![Page 4: [2014 CodeEngn Conference 10] 조제경 - 너도 나도 다같이 리버싱](https://reader033.fdocument.pub/reader033/viewer/2022051013/546b2778af795902048b5523/html5/thumbnails/4.jpg)
Concept
Function
Comment
Code
IDB분석가 김씨
IDA Pro
IDB
IDB
ü 파일 주고 가라고 !!!ü 버전 안 맞아 !!!ü IDB 파일 너무 커!!!
IDB분석가 김씨
IDA Pro
분석가 조씨
분석가 조씨
ü 필요한 함수만 ^-^ü 버전은 암거나 ^-^ü 업데이트만 해줘 ^-^
![Page 5: [2014 CodeEngn Conference 10] 조제경 - 너도 나도 다같이 리버싱](https://reader033.fdocument.pub/reader033/viewer/2022051013/546b2778af795902048b5523/html5/thumbnails/5.jpg)
IDA PRO???
![Page 6: [2014 CodeEngn Conference 10] 조제경 - 너도 나도 다같이 리버싱](https://reader033.fdocument.pub/reader033/viewer/2022051013/546b2778af795902048b5523/html5/thumbnails/6.jpg)
IDA PRO Plugins
![Page 7: [2014 CodeEngn Conference 10] 조제경 - 너도 나도 다같이 리버싱](https://reader033.fdocument.pub/reader033/viewer/2022051013/546b2778af795902048b5523/html5/thumbnails/7.jpg)
CodeShare
ü GET.PHP : 분석 정보 추출
IDB분석가 김씨
IDA ProIDA Python
ü Alt + F7 : Script Loadü CodeShare.py
- GET or SET Reverse Information
RCEHUB
ü SET.PHP : 분석 정보 저장
ü MOD.PHP : WEB 작업용!
[Ctrl+4]This function : DB -> IDB[Ctrl+5]This function : IDB -> DB[Ctrl+6]This function : IDB(raw) -> DB[Ctrl+7]ALL function : DB -> IDB[Ctrl+8]ALL function : IDB -> DB[Ctrl+9]ALL function : IDB(raw) -> DB
Function
Comment
Code
![Page 8: [2014 CodeEngn Conference 10] 조제경 - 너도 나도 다같이 리버싱](https://reader033.fdocument.pub/reader033/viewer/2022051013/546b2778af795902048b5523/html5/thumbnails/8.jpg)
CodeShare
[Ctrl+4]This function : DB -> IDB
ü 마우스 포인터가 클릭한 위치의함수 한 개에 대한 MD5 추출
ü 함수 A
ü 함수 B Function
Comment
Code
ü FunctionName
ü Commentü Offset
ü FunctionMD5
![Page 9: [2014 CodeEngn Conference 10] 조제경 - 너도 나도 다같이 리버싱](https://reader033.fdocument.pub/reader033/viewer/2022051013/546b2778af795902048b5523/html5/thumbnails/9.jpg)
CodeShare
[Ctrl+5]This function : IDB -> DB
ü 마우스 포인터가 클릭한 위치의함수 한 개에 대한 MD5, 이름, 주석 정보를 추출
ü 함수 A
ü 함수 B Function
Comment
Code
ü Function MD5ü Function Nameü Commentü Offset
![Page 10: [2014 CodeEngn Conference 10] 조제경 - 너도 나도 다같이 리버싱](https://reader033.fdocument.pub/reader033/viewer/2022051013/546b2778af795902048b5523/html5/thumbnails/10.jpg)
CodeShare
[Ctrl+6]This function : IDB(raw) -> DB
ü 마우스 포인터가 클릭한 위치의함수 한 개에 대한 MD5, 이름, 디스어셈블 코드, 주석 정보를추출
ü 함수 A
ü 함수 B Function
Comment
Code
ü Function MD5ü Function Nameü Disassemble Codeü Commentü Offset
![Page 11: [2014 CodeEngn Conference 10] 조제경 - 너도 나도 다같이 리버싱](https://reader033.fdocument.pub/reader033/viewer/2022051013/546b2778af795902048b5523/html5/thumbnails/11.jpg)
CodeShare
[Ctrl+7]ALL function : DB -> IDB[Ctrl+8]ALL function : IDB -> DB[Ctrl+9]ALL function : IDB(raw) -> DB
ü 함수 A
ü 함수 B
Function
Comment
Codeü Function MD5ü Function Nameü Disassemble Codeü Commentü Offset
ü Function MD5ü Function Nameü Disassemble Codeü Commentü Offset
![Page 12: [2014 CodeEngn Conference 10] 조제경 - 너도 나도 다같이 리버싱](https://reader033.fdocument.pub/reader033/viewer/2022051013/546b2778af795902048b5523/html5/thumbnails/12.jpg)
RAW ???
웹에서분석 수행
함수MD5
함수이름
팀원 감시용으로쓰지마세요 ㅠ.ㅠ
![Page 13: [2014 CodeEngn Conference 10] 조제경 - 너도 나도 다같이 리버싱](https://reader033.fdocument.pub/reader033/viewer/2022051013/546b2778af795902048b5523/html5/thumbnails/13.jpg)
DEMO
![Page 14: [2014 CodeEngn Conference 10] 조제경 - 너도 나도 다같이 리버싱](https://reader033.fdocument.pub/reader033/viewer/2022051013/546b2778af795902048b5523/html5/thumbnails/14.jpg)
IDA Pro 5.0 이상