윈 도 우 아래글... UPX 버그패치

테스트 해보니 잘 됩니다.

감사합니다.

글쎄요.

평소에 UPX에 관심이 없어서 잘 모르겠네요.

자주 접속하지 못해서 일일히 답변 못 답니다.

문제가 되는 테스트 가능한 32비트 샘플 프로그램 첨부 가능 한가요?

샘플 프로그램 올려 주시면, 시간 날 때 살펴 볼수는 있습니다만...

지금 기억에 없어 올려드릴 수가 없네요.

가끔하다보면 안될 때가 있습니다.

올려 주신 패치 프로그램은 범용으로 사용할 수 없는 것입니까?

아님 besttrace.exe에 특화된 패치 프로그램인가요?

저도 잘은 모르는데

kernel님이 올려주신 패치이용하면 64비트 32비트 다 되던데요 ^^;;;;

besttrace.exe 에 특화된 패치가 아니고...

UPX 압축풀기란 글이 있길래... Relocation fixup table을 정상적으로 처리하지 못하는 UPX 프로그램의 버그를 패치한 겁니다.

UPX 로 정상적으로 unpacking이 되지 않는 경우가 있을 수 있는데 그런 경우는...

파일 unpacking을 통한 프로그램 해킹을 방지하기 위해 프로그램 만든 사람이 바이너리에 장난을 처놓은 겁니다.

어떤 식으로 이런 unpacking 방지 기법이 가능햐냐면...

UPX 로 packing 되어있는 .exe 바이너리를 실행할 경우, 메모리에서 먼저 unpacking 과정이 수반 되어야 하는데

실행시에는 로딩 속도를 높이기 위해 필요없다고 판단되는 부분들은 sanity 체크를 생략하는 반면에...

packing 되어있는 바이너리를 파일로 unpacking 할 때는 데이타의 무결성을 확인하기 위해 디테일한 sanity 체크가 이루어지게 되는 구조로

UPX 프로그램이 만들어져 있기 때문이죠. 

이런 점을 이용해서... signature나 UPX 프로그램 헤더를 변조해서 해킹을 방지할 목적으로 바이너리에 장난을 처 놓은 겁니다.

이와 같은 해킹 방지 테크닉은 UPX 소스코드만 한번 분석해 봐도 간단하게 만들 수 있는 부분이니 공부해 보시길...

upx 소스코드 링크

upx/src at devel · upx/upx · GitHub

Relocation fixup table 에 대한 디테일한 기술적인 내용을 답변 글로 설명하기엔 내용이 너무 길어질거 같아

다음 링크로 대신 합니다.

executable - How are PE Base Relocations build up? - Stack Overflow

Relocation fixup table 에 대한 디테일한 내용을 알고있다는 전제하에... 간략하게 적습니다.

.exe 파일인 경우 링커에 의해 정해진 Base Address 로 OS 가 프로그램을 메모리로 로드해서 실행하기 때문에 메모리 Relocation이 필요 없고

이런 경우엔 .exe 파일로 부터 Relocation fixup table을 제거해도 실행하는 데는 지장이 없죠.

.dll 파일인 경우에는 실행 프로그램에 의해서 import 되어지는 DLL 파일이 다수가 있을 수 있고...

로드 되는 DLL이 많아지면 기본 Base Address 로 로드 될 수 없는 경우가 발생할 수 있어서 이런 경우에는 메모리에서 재배치가 필요해서

Relocation fixup 테이블이 필요하게 됍니다. 이 경우 OS 로더가 .dll 파일의 PE 섹션에서 Relocation fixup table을 참조해서 메모리에서

컴파일 되어있는 모듈에서 고정된 주소값을 사용하는 기계어의 오펀랜드 값을 패치하게 됍니다.