[CodeEngn] Basic RCE L09

StolenByte : 훔친 바이트로, 패킹된 프로그램에서 코드의 일부를 이동시킨 것이다.

보통 StolenByte는 OEP로부터 몇개의 명령어이다.

 

peid로 확인하니 upx로 패킹된 파일임을 알 수 있었다.

 

언패킹하지 않고 패킹된 파일을 디버거로 열어주면 PUSHAD 명령어가 있는 것을 확인할 수 있다.

PUSHAD는 범용 레지스터의 값을 스택에 저장한다. 이 저장한 스택의 데이터를 범용 레지스터를 채우는 명령어가 POPAD이다.

 

POPAD 명령어를 찾아준다.

 

명령어를 찾으면 다음과 같이 뜬다.

 

POPAD는 스택의 데이터를 채우는 명령어였으므로, push한 값들이 stolenbyte임을 알 수 있다.