26 Jun
2015
Posted in: 코드
By    1 Comment

[플밍노트] 변태 패커, Upack


[플밍노트] 변태 패커, Upack
by 신영진(YoungJin Shin), codewiz at gmail.com, @codemaru, http://www.jiniya.net

PE 포맷의 각종 잘(?!) 사용되지 않는 Size 필드들을 가지고 장난쳐서 파일을 오버레이 시키곤 하는 변태 패커 중에 Upack이 있다. 자세한 설명은 이 글을 참고하도록 하고,… 언젠가 나도 한 번 당했었는데 웬만한 필드는 다 계산해서 사용하기에 문제가 없다고 생각했는데 섹션 헤더를 구하는 부분에 문제가 있었다. 흔히 별 생각 없이 아래와 같은 코드를 사용하고 있었는데 이게 Upack으로 패킹된 파일에는 문제가 된다.

PIMAGE_NT_HEADERS nt = 적절한 NT 헤더 포인터;
PIMAGE_SECTION_HEADER sec;
sec = (PIMAGE_SECTION_HEADER) GetPtr(nt, sizeof(*nt));

OptionalHeader에 SizeOfOptionalHeader 필드가 있는데 그 값이 일반적인 값이라면 위 코드는 큰 문제 없이 동작한다. 그런데 Upack은 다르다. SizeOfOptionalHeader를 가지고 장난질을 치기 때문에다. 그래서 아래와 같이 해당 필드 값을 토대로 계산을 해 주어야 정확한 섹션 헤더 위치를 얻을 수 있다.

#define \
GetSectionHeaderFromNt(nt) \
((PIMAGE_SECTION_HEADER) \
GetPtr(&(nt)->OptionalHeader, (nt)->FileHeader.SizeOfOptionalHeader))

덧) 자매품 UPX의 함정도 있다 ㅋㅋ~


  • 트랙백 주소: http://www.jiniya.net/wp/archives/15072/trackback

관련 글

  • 6l4ck3y3

    그래서 MS에서 제공해주는 IMAGE_FIRST_SECTION 매크로를 사용해요^^