jz in reverse engineering

windows null page allocation

jz- — Tue, 17 May 2011 22:30:41 +0900

#include typedef DWORD (__stdcall *NTALLOCATEVIRTUALMEMORY)( DWORD handle, IN OUT PVOID baseaddr, DWORD zerobits, IN OUT PULONG size, DWORD type, DWORD protect ); void main() { NTALLOCATEVIRTUALMEMORY NtAllocateVirtualMemory; NtAllocateVirtualMemory = (..

Adobe Reader X sandboxing?

jz- — Sun, 21 Nov 2010 05:39:42 +0900

Adobe Reader X가 영문판만 릴리즈 됐습니다. 한글 브라우저는 한글판 9.4로 리다이렉트되기때문에 ... 궁금하신 분들은 아래 링크로 받아보시면 됩니다. http://ardownload.adobe.com/pub/adobe/reader/win/10.x/10.0.0/en_US/AdbeRdr1000_en_US.exe reader x는 샌드박싱을 홍보했는데.. ring3 후킹이 약~간 돼있네요.. 설마 이게 끝인가 간단한 후킹이네요... 내용은 보..

ollydbg.ini for your eye

jz- — Tue, 26 Oct 2010 19:53:57 +0900

보기 편한 색과 글꼴로 맞춰놓은 ollydbg 설정파일입니다. scheme 5번에 저장돼있습니다. plugin path, udd path, symbol path, lib path 등은 새로 다 맞춰주셔야 합니다. 그리고 24인치에서 맞춘 설정이라 창배치 다시하셔야할듯... 아니면 제 ollydbg.ini에서 appearance 관련 몇몇 부분만 copy&paste 하셔도 됩니다.

IDA + gdb with gdbserver

jz- — Sat, 03 Jul 2010 02:48:25 +0900

gdbserver와 ida를 이용하면 elf binary를 ida로 디버깅할 수 있습니다. 편하겠죠. gdbserver host:port file ubuntu rocks! port 5555로 해봤습니다. 서버 세팅 됐고 이제 ida로 접속해보죠. windows에도 ls를 복사해놓았습니다. 사실 binary는 둘중 하나에만 있어도 되긴 하지만... debugger 설정하고 그다음엔 process options gdbserver machine..

ollydbg 1.10 and its vulnerable dbghelp.dll

jz- — Mon, 28 Jun 2010 13:25:34 +0900

ollydbg 1.10 is distributed with MS's dbghelp.dll which you can get in 'debugging tools for windows(windbg)' set. it's an old version and there is a buffer overflow vulnerability, which is already patched in latest windbg set. PoC is in exploit-db(ex.m..

anti importrec ?

jz- — Fri, 18 Jun 2010 20:00:11 +0900

unpack시 import dir 복구 툴중 제일 편하고 유명한 imprec 많이들 쓰시죠~ imprec에 간단한 버그..랄까.. 안되는 경우가 있고, 이를 이용해서 import 복구를 막는 packer도 있네요. api redirection은 다 제거한 상태, 즉 exe image에 api 주소가 다 올라왔다고 가정하죠. iat는 하나의 dll에서 import 하는 함수 포인터들의 array로 구성되죠? 그리고 끝은 0으로 마킹됩니다. 그리고 대..

Hawaii

jz- — Tue, 12 Jan 2010 09:08:52 +0900

lovely hawaii !

cdecl in two ways

jz- — Mon, 16 Nov 2009 18:00:52 +0900

cdecl calling convention은 c에서 주로 쓰는 calling convention으로, 스택을 통해 인자를 전달하며 caller가 stack을 정리하고, return 값은 eax로 전달을 받는 규약입니다. 가장 기본 형태는 아래와 같죠. (visual studio 등) 인자를 2개 넣고 printf를 호출한 뒤, add esp, 0x8을 하는 것을 볼 수 있습니다. 호출한 쪽에서 인자를 몇개 push 했는지 알기 때문에(2개.) ad..

x61 battery recall

jz- — Tue, 27 Oct 2009 14:01:22 +0900

배터리 용량이 갑자기 떨어지는 경우 불량 배터리일 수 있습니다. x61을 사용중인데 에이 배터리 맛갔네 이러고 말았는데 아범(ibm)이 무려 리콜씩이나 해주네요. 저는 산지 거의 2년돼가는데 딱 2년까지만 된답니다. 흐헤헤 http://download.lenovo.com/lenovo/content/batt/082009/LandingPage.html?lang=ko

Hex-Rays가 사람을 뽑네요

jz- — Wed, 21 Oct 2009 20:54:10 +0900

http://hexblog.com/2009/10/hexrays_is_hiring.html ㅎㅎ ida 개발사인 datarescue는 벨기에 회사인데... 저기도 마찬가지겠죠? 그럼 언어는 어느 언어를 쓸까 심히 궁금 ㅋㅋㅋ