📘 Day 48 (2025.08.21.THU) - 인터넷보안전문가 2급 기출문제 풀이, Cuckoo Sandbox 분석(2)
인터넷보안전문가 2급 기출문제: http://geumsol.kr/ise/q.php
실습 프로그램: VMware Player - icaqsplinux0518 (사용 후 종료하지 않기 / Suspended)
🔎 Cuckoo Sandbox 정적 분석
- exe 파일 실행 → Time Data Stamp로 컴파일 시간 분석
- 함수 및 라이브러리 확인 가능
- 악성코드의 경우 네트워크 관련 DLL 확인 가능
🛠️ 리버싱 개념
- PE 로더: 프로세스 메모리에 로딩 후
EIP = ImageBase + AddressOfEntryPoint - Entry Point: 코드 실행 진입점
- 리버싱 툴: exe 파일에서 진입점 확인 가능
- 프로그램 실행 시 메모리에 적재됨
⚙️ x64dbg 설정
x64dbg 설치 후 x32dbg 실행 → 설정에서 진입점 중단점만 체크(리버싱이 처음이라면, 시스템 중단점, TLS 콜백 체크 해제)
→ 프로세스 초기화 시점에 사용자 코드 실행 전 준비 코드 확인 가능
📂 실습
- yes.exe 내부에서
192.168.0.207:4444(해커 IP) 확인 - Dev-C++: P53 생성(변수 5개 생성) → P53.exe 파일 Cuckoo Sandbox 분석 → Static Analysis → Strings(특정 문자열 분석 단서 획득)
🔍 x32dbg - P53.exe
100(10진수) = 64(16진수)
📑 x64dbg 단축키
| 명령어 | 단축키 | 설명 |
|---|---|---|
| 파일 불러오기 | F3 | 실행 파일을 디버거에 적재 |
| 중단점 설정 | F2 | Break Point 설정/해제 |
| 실행 | F9 | 프로그램 실행(중단점까지) |
| 선택까지 실행 | F4 | 선택한 위치까지 실행 |
| 프로세스 불러오기 | Alt + A | 실행 프로세스 적재 |
| 반환할 때까지 실행 | Ctrl + F9 | ret 명령 전까지 실행 |
| 다시 시작 | Ctrl + F2 | 프로그램 처음부터 실행 |
| 닫기 | Alt + F2 | 프로그램 종료 |
| 안으로 단계 진행 | F7 | call 안으로 점프 |
| 건너서 단계 진행 | F8 | call 실행 후 다음 줄로 이동 |
| 안으로 자동 진행 | Ctrl + F7 | F7 자동 실행 (F12 멈춤) |
| 건너서 자동 진행 | Ctrl + F8 | F8 자동 실행 (F12 멈춤) |
| 일시중지 | F12 | 자동 실행 중 정지 |
📝 Break Point 실습
- P54 생성 후 F2로 Break Point 설정 → cmp 클릭 → F4: 선택까지 실행
mov dword ptr ss:[esp+1C],64→ 100 삽입cmp dword ptr ss:[esp+1C],0→ 100과 0 비교jle p54.4015B→ 조건 불충족 시 아래 실행
🔐 Password 찾기 (P55)
test&je→ 두 값이 같으면 점프je p55.401559→ 바로 직전에 실행된 cmp나 test 같은 비교 명령에서 두 값이 같으면 점프jmp p55.401573→ 00401573 이동- F3 - F2: 00401542 Break Point → Shift+D: 문자열 참조
- F9 실행 → cmd 창에서 입력
- F8 실행 중 Zero Flag 강제 변경 → 잘못된 password도 통과
리버싱 → 레지스터 값/Zero Flag 직접 조작 가능
