Bootice 1.1.4 한글화 작업을 위한.. 연구보고서..

가장 먼저 패킹을 확인해 봅시다..

MPRESS 라는 패커군요...

구글에서도 해당버전에 관련된 언팩법이라든가.. 언패커는 존재하지않았습니다..

스크립트 제가 가진걸로 돌려보아도 안되더군요..

그래서 직업 수동 언팩을 시도했습니다..

bootice가 지독해졌군요..

일단 언팩을 하기위해서 1.13과 1.14의 주변값을 비교하겠습니다.

같은 루틴이 존재하는것은 이곳입니다.

※1.13 OEP 값과 주변값들..

00437CE1 6A 0C push 0C
00437CE3 68 18294500 push 00452918
00437CE8 E8 1B400000 call 0043BD08
00437CED 8365 E4 00 and dword ptr ss:[ebp-1C], 0
00437CF1 8B75 08 mov esi, dword ptr ss:[ebp+8]
00437CF4 3B35 70664800 cmp esi, dword ptr ds:[486670]
00437CFA 77 22 ja short bootice.00437D1E

※1.14 OEP 주소

00438301 6A 0C push 0C

그럼 아래 스샷으로 살펴보도록 하겠습니다..

일단 가장 먼저 1차적인 IAT 테이블 부터 복구를 해주어야합니다.

시작하자마자 내리면 이 부분이있습니다.

이부분을 F2로 브레이크 잡고 F8로 이동합니다 UPX와는 많이 흡사하지요???

이동하고 나면 UPX와는 다르게 UPX 는 바로 OEP 지점으로 이동되게 되어있는 반면에...

이번 패킹은 이동이안됩니다.

그래서 비슷한 루틴을 직접 검색해서 적어둔게 위에것입니다.

이 지점으로부터 OEP를 구하여야하는데..

구하기가 어렵네요..

일단 OEP 지점을 사진으로 올려봅니다.

요 부분이 OEP (Original Entry Point)입니다..

잔머리로 술수를 다써봐도 IAT(Import AddreesTable)이 복구가 안되서 언팩이 제대로 이루어지지않네요..

그래서 연구하고 있는데..

정말 머리가아프네요..

좀만 더하면 성공인데... 에휴... 귀찮네요...