[질문]더미다 스크립트로 언팩을 했는데 좀 이상함

리버싱 공부중인 리알못임

vm xp 32비트에서 언팩했음.

툴들로 확인한 결과 더미다/윈라이센스 2.1.x 버전으로 패킹이 돼있었음

스크립트 하나 돌려봣더니 정상적으로 언팩된것처럼 push ebp mov ebp, esp 나오고 텍스트랑 함수목록 잘 보였는데

덤프를 뜨면 뭔가 하나씩 이상해짐

스크립트 돌려서 나온 언팩된 바이너리는 켜지는데 본 os로 옮기면 백그라운드에서 켜졌다 꺼짐(win 8.1)
이걸 그래서 lordpe랑 importrec이랑 https://code.google.com/p/healiat/

이런거 다 돌려봐도 제대로 안됨

본컴이랑 vm이랑 헥사에디터로 파일 일치하나 비교해봤는데 일치하는데

vm에서 올디로 켜면 잘 뜨는데 같은파일을 본컴에서 키면 ADD BYTE PTR DS:[EAX],AL 이것만뜸

어떤분 왈 : 음 그럼 임포트가 제대로 복구 안된거같다. xp에선 함수주소가 유효하니깐 도는데 타컴에선 dll 주소가 바뀌니

이거 어케해야함?

그리고 더미다 스크립트로 oep를 알아냈잖음?

이거가지고 패킹된 파일에서 컨트롤 G로 oep로 날아가서 F4누르면 push ebp ~~ 하고 패킹 풀린것같이 되는데

이상태로 덤프뜨면 임포트 리빌드 하든 안하든간에 xp에서 안켜짐

이증상은 왜이런거임?

그리고 peview같은걸로 켜면 PEview supports viewing only the first 32 imported DLLs in the IAT/INT.

라고 메박뜸 ㅅㅂ

좀 알려줘요 고수님들

댓글 0