리버스코어 ReverseCore

#0. prologue

분야를 막론하고 기술자(특히 엔지니어)들은 자신만의 작업환경과 손에 익은 도구(장비)가 있습니다.

기술자(특히 엔지니어) 란 특정 업무를 위해서 필요한 도구를 아주 능숙하게 다룰 줄 아는 사람들입니다.

같은 도구를 사용하더라도 기술자의 능력에 따라서 전혀 다른 결과를 보여줍니다.
(더 나아가서 필요한 도구를 직접 만들어 내기도 합니다.)

또한 기술자들은 각자 자신만의 도구를 가지고 있으며
한번 손에 익힌 도구를 되도록 오래 쓰고 왠만해서는 바꾸려 하지 않습니다.
(바꿀 때도 될 수 있으면 같은 회사의 후속 제품으로 바꾸려고 하지요.)

남의 도구, 남의 작업환경에서 일을 하면 아무래도 불편하다고 생각합니다.

즉, 자신만의 작업환경과 자신만의 도구가 갖춰져야 그 기술자의 진정한 실력이 100% 발휘 된다고 할 수 있습니다.



#1. Reverse Code Engineer (Reverser)

리버서들은 어떨까요?

리버서도 역시 IT 엔지니어 범주에 들어가기 때문에 위에서 언급한 일반적인 기술자의 성향과 다를 바가 없습니다.

리버싱을 하기 위한 도구의 종류만도 수십 가지가 넘으며, 각 종류별로 다양한 제품들이 존재합니다.
또한 IT 분야의 특성상 계속해서 새로운 도구가 개발되고 있습니다.

도구의 종류만도 아래와 같이 매우 많습니다. (언급하지 못한 것도 많을 것입니다.)

disassembler
debugger - PE, script, etc
development tool - assembly, C/C++, etc
editor(viewer) - text, hex, resource, retistry, string, PE, etc
monitoring tool - process, file, registry, network, message, etc
memory dump
classifier
calculator - hex, binary
compare tool - text, hex
packer/unpacker
encoder/decoder
virtual machine
decompiler - VB, Delphi, etc
emulator
...



#2. 좋은 분석 도구 선택의 5 가지 기준

아래에 ReverseCore 만의 도구 선택 기준(가이드)을 제시합니다. (참고만 하세요~)


첫째, 도구 개수를 최소화시킨다.

남들이 쓴다고 해서 기능을 알지도 못하는 도구를 잔뜩 가지고 있어봐야 도움이 되지 않습니다.
자신에게 필요한 도구만을 각 종류별로 하나씩만 사용하는 것이 좋습니다.

자신의 실력에 맞는 것만을 고르고 차츰 하나씩 늘려나가시면 됩니다.

또한 중복된 기능의 도구들은 하나로 정리하는 것이 좋습니다.


둘째, 도구는 기능이 단순하고 사용방법이 편리한 것이 좋다.

실력이 늘어날 수록 사용해야 할 도구의 개수도 늘어납니다.
기능이 단순하고 인터페이스가 직관적일 수록 사용하기에 편리합니다.

여기서 기능이 단순하다는 말은 리버싱 도구치고는 단순하다는 말입니다.
(Windows 의 계산기, 메모장 수준을 생각하시면 안됩니다. ^^)

따라서 아무리 단순한 리버싱 도구를 하나 익히는 데만도 어느 정도 시간이 필요합니다.


셋째, 기능을 철저히 익힌다.

아무리 좋은 도구라도 사용할 줄 모르면 무용지물 입니다.

자신이 이미 가지고 있는 도구에서 제공되는 기능인데도,
그걸 알지 못하고 다른 도구를 찾는 분들이 많습니다.

일단 도구를 선택한 후에는 제공되는 메뉴얼을 한번 정독해보시는 것이 좋습니다.
자주 사용하는 기능의 단축키 정도는 외워 두시면 작업이 훨씬 수월합니다.
(단축키를 잘 쓰면 확실히 자타공인 전문가처럼 느껴집니다.)


넷째, 꾸준히 업데이트 한다.

리버싱도 IT 범주에 속하기 때문에 기술 발전 속도가 매우 빠릅니다.

새로운 기술에 대응하기 위해 도구들도 빠르게 변화하기 때문에
사용하는 도구의 업데이트는 매우 중요한 일입니다.

따라서 꾸준히 업데이트를 지원하는 도구를 선택하는 것이 좋습니다.


다섯째, 도구의 핵심 동작 원리를 이해한다.

도구를 더 잘 사용하기 위해서 동작 원리를 이해하는 것이 좋습니다.
더 나아가 테스트용 프로토타입을 만들 수 있다면 금상첨화 입니다.

이 부분을 간과하시는 분들이 매우 많습니다.
하지만 높은 수준의 리버싱 실력을 쌓기 위해서는 필수적인 사항입니다.

예를 들어 debugger 의 동작원리를 이해하고 있으면,
anti-debugging 기법을 잘 회피할 수 있습니다.

원리를 이해하지 못하고 도구에만 의존하면,
간단한 트릭도 해결하지 못하고 다른 도구를 찾아 나서야 합니다.
소위 말하는 "도구의 노예"가 되는 것이지요. (이것만은 꼭 경계해야 겠습니다.)



#3. epilogue

debug.exe 라는 프로그램을 아시나요?
MS-DOS 시절부터 존재하던 16-bit debugger 입니다. (XP 에도 존재합니다.)

커맨드 창에서 debug.exe 를 실행하고 '?' 명령으로 도움말을 보겠습니다.

위에 보이는 명령어가 전부입니다.

단순하지요?

제가 아는 어떤 분이 debug.exe 로 16 bit DOS 프로그램을 분석하시는 걸 본 적이 있습니다.

뭔가를 실행시키더니 키보드를 다다다다 두들기면서 화면이 번쩍 번쩍 넘어가는데,
바로 옆에서 지켜보면서도 무슨 작업을 하는지 도저히 알 수 없었습니다.
(눈이 그분의 작업 속도를 따라가지 못한 거죠.)

처음에는 실행되는 프로그램이 debug.exe 인지 조차도 몰랐었습니다.
(전 그때 당시 이미 debug.exe 를 한달 정도 써본 경험이 있었음에도 불구하고 말이죠.)

그리고는 다 됐다면서 결과를 넘겨 주시더군요.
그때 그분이 사용하신 프로그램이 debug.exe 라는 걸 알고 충격에 휩쌓였었죠.

'저 단순한 debug.exe 만으로 이 일을 이렇게 빨리 해냈단 말인가?' 하고 말이죠.

그 이후로 제가 어떤 도구를 고를 때 나름대로의 기준을 세우게 되었습니다.

그리고 하나의 깨달음을 얻었습니다.

"평범한 도구라도 극한까지 연마하면 천하에 다시 없는 비범한 도구가 된다."

마치 무림고수(武林高手)가 수련에 수련을 거듭해서 검(劍)을 버리고
결국에는 초(草)/목(木)/죽(竹)/석(石)을 모두 검처럼 사용할 수 있듯이 말이죠.


여러분은 어떻게 생각하시나요? ^^

Reverse Engineering (RE)



일반적인 의미에서 Reverse Engineering (RE : 역공학)이라고 하면,
물건이나 기계장치 혹은 시스템 등의 구조, 기능, 동작등을 분석하여
그 원리를 이해하며 단점을 보완하고 새로운 아이디어를 추가시키는
일련의 작업이라고 할 수 있습니다.


Reverse Engineering(이하 리버싱) 의 개념은 여러분의 일상생활 속에서도 찾아 볼 수 있습니다.

회사에서 리버싱이 사용되는 예를 들어 보겠습니다.
가령 경쟁사에서 신제품을 출시했다고 해봅시다.
R&D 부서에서는 얼른 구입해서, 어떤 새로운 기능이 있으며 어떻게 만들었는지 살펴볼 것입니다.

구현 능력이 엇비슷 하다면 금방 따라 만들 수 있을것입니다.
혹은 원래 기능의 단점을 보완하고 더 새로운 기능을 추가시킬 수 있을지도 모릅니다.



Reverse Code Engineering (RCE)



소프트웨어 역공학의 의미는 일반적인 의미의 역공학과 기본적으로 같은 개념이지만,
분야를 소프트웨어로 한정지어 놓았다고 이해하시면 되겠습니다.

우리나라에서는 아직 정확한 용어의 통일이 되지 않아서 여러가지 용어들이 같이 사용되고 있습니다.
많은 분들께서 Reverse Code Engineering, Reverse Engineering, 역공학, 리버싱등의 용어를 마구 섞어서 쓰고 계십니다.

제 블로그에서도 'RCE', 'RE' 혹은 편하게 '리버싱' 이라고 표현하겠으며,
제가 가장 좋아하는 단어인 '분석'  또는 '상세분석' 이라는 말을 많이 쓰도록 하겠습니다.
말 그대로 소프트웨어를 리버싱 관점에서 상세하게 분석한다는 뜻입니다.


일반적인 소프트웨어 혹은 프로그램들의 제작방법을 보면,
먼저 소스 코드를 작성하고 컴파일/링크 과정을 거쳐서 실행가능한 binary 형태의 파일로 만들어 집니다.

여기서 실행가능하다는 말은 컴퓨터가 그 binary 를 이해할 수 있어서
프로그램을 제작자의 의도대로 실행 시킬 수 있다는 뜻입니다.

컴퓨터를 잘 이해하고 있는 사람 또한 같은 바이너리 코드를 보고 이해할 수 있습니다.
(물론 이해 속도는 떨어지겠지만요.)

일반인들이 실행가능 binary 파일의 내용을 보면 마치 고대의 해독 불가능한 상형문자를 보는 것과 마찬가지로 그 내용을 이해할 수 없지만, 소프트웨어 역공학 전문가들의 눈에는 그 내용이 훤히 보이게 되는 것입니다.

어떻게 그런 일이 가능할까요?
컴퓨터의 구조와 언어를 능숙하게 익히면 가능합니다.

어떤 리버싱 전문가는 농담삼아(?) 이렇게 이야기 하기도 합니다.
“남들이 작성한 지저분한 C 소스코드 보는 것보다, 그 실행파일의 disasm 코드를 보는게 더 편해.”



RCE 방법



크게 두가지 방법이 있습니다. 정적분석과 동적분석입니다.

1) 정적분석
: 파일을 실행 시켜 보지 않고 분석하는 방법입니다.
  파일의 종류(EXE, DLL, DOC, ZIP, etc), 크기, 헤더(PE)내용, 내부 문자열, 실행압축여부, 등록정보, 디버깅정보,
  디지탈 인증서 등을 확인하는 것입니다.
  또한 디스어셈블러(Disassembler)를 이용해서 내부 코드와 그 구조를 확인 할 수 있습니다.

2) 동적분석
: 파일을 직접 실행 시켜서 분석하는 방법입니다.
  실행 증상(파일, registry, 네트워크 등)을 모니터링 하고,
  디버깅(debugging) 하여 기능, 동작, 메모리 상태, 레지스터 값, 코드 흐름을 살펴보는 것입니다.

두 가지 분석 방법 모두 편리한 유틸리티들을 사용하여 분석이 이루어지며,
경우에 따라서 두 가지 방법 중에서 한가지 혹은 두가지 모두를 사용하여 분석을 완료합니다.

제 경우에는 보통 정적분석으로 최대한의 정보를 수집하고 해당 파일에 대한 감을 잡은 후에 동적분석을 해봅니다.
Debugging 은 가장 마지막에 쓰거나 경우에 따라서는 아예 쓰지 않습니다.



패치(patch) 또는 크랙(crack)



프로그램의 파일 혹은 실행중인 프로세스의 메모리 내용을 변경시키는 작업을 패치(patch) 라 하고,
그 중에서도 의도적으로 저작권을 침해하기 위하여 변경시키는 작업을 크랙(crack) 이라고 합니다.

이러한 예는 일상생활에서 많이 접할 수 있습니다.

iPhone 을 크랙하여 쉘을 띄우고, 게임기를 크랙하여 복제 CD 를 사용할 수 있도록 하며
각종 SW 를 크랙하여 불법 복제를 가능하도록 하는등 셀 수 없이 많은 크랙을 볼 수 있습니다. 

제 블로그에서는 정품 소프트웨어의 크랙 방법을 다루지 않습니다.
어디까지나 리버싱의 원리와 OS 내부구조에 대한 깊이있는 공부가 주된 관심사 입니다.



ReverseCore



리버싱 방법과 그 원리에 대해서 설명하는 블로그로 만들겠습니다.

ReverseCore 접속 준비물은 적당한 의욕 과 구글(Google) 입니다. 


- 적당한 의욕 

    과욕을 부리시면 안됩니다.
    리버싱은 인내, 인내, 인내의 연속입니다.
    과욕을 부리시다가 생각대로 안되면 중도 포기하게 됩니다.
    "안돼면 내일 하지 뭐~" 이런 자세가 좋은것 같습니다.


- 구글(Google) 

    뭐든지 다 있다고 그냥 믿으십시요.
    내가 궁금한 내용이 다 있다 라고 그냥 순수하게 믿고 찾으시기 바랍니다. 
    지금부터 배우려는 내용은 이미 수년전에 누군가가 했었던 것들이며,
    수년동안 많은 사람들이 따라 해봤던 내용들입니다.
    만약 찾는게 진짜로 없다면... 
    축하드립니다.
    드디어 당신은 리버싱 guru 의 경지에 도달하신겁니다. ^^


제가 강조하고 싶은 내용은
리버싱이란 컴퓨터와 OS 내부구조에 정통해야 좋은 성과를 얻을 수 있다
는 것입니다.