[Reversing.kr] AutoHotkey1 풀이

Reversing.kr의 문제 AutoHotkey1입니다.

문제 파일을 다운로드 받아보면 readme.txt와 ahk.exe가 있습니다.

readme.txt를 열어보면,

정답을 인증하는 형식에 관해서 설명을 해주고 있습니다.

md5 복호화를 해서 문자열을 만드는 것 같네요.

ahk.exe를 실행시켜보면,

입력하는 칸이 있는데 아무 숫자나 입력을 하고 OK를 눌러보니 바로 프로그램이 종료됩니다.

PEID로 파일의 정보를 확인해보겠습니다.

UPX 패킹이 되어있네요.

언패킹을 해주고 실행시켜보면..

"EXE corrupted"라는 문자열이 출력되고 확인 버튼을 누르면 종료됩니다.

검색을 해보니 컴파일 후 변조가 되면 이 문자열을 띄운다고 합니다.

이제 언패킹을 하지 않은 원본 파일을 올리디버거로 분석해보겠습니다.

직접 OEP까지 왔습니다.

"EXE corrupted"라는 문자열이 있는 곳으로 왔습니다.

0044825E에서 호출하는 004508C7 함수 안에 들어가서 분석하던 도중

EBX에 이상한 문자열이 담겨있는 것을 확인했습니다.

md5로 복호화해보니 정상적인 단어가 되었습니다.

계속 분석하던 도중

00448298에서 ECX에 이상한 의심스러운 문자열이 있는 것을 확인했습니다.

그래서 ECX 메모리 주소에 있는 값을 확인해보니

md5 암호화가 돼 있는 것으로 추정되는 문자열이 있었습니다.

이 문자열도 역시 md5 복호화가 정상적으로 되었습니다.

md5 복호화를 한 두단어 사이에 띄어쓰기를 해주면 정답이 됩니다!