http://kenji.blog/ko/tags/%EB%B6%84%EC%84%9D/Recent content in 분석 on kenji.blogHugo -- gohugo.iokokenjinoteWed, 05 Apr 2023 23:31:06 +0900http://kenji.blog/ko/p/%EC%8B%A4%ED%96%89-%ED%8C%8C%EC%9D%BCexe%EC%9D%98-%EB%82%B4%EC%9A%A9%EC%9D%84-%EB%B6%84%EC%84%9D%ED%95%98%EB%8A%94-%EB%8F%84%EA%B5%AC/Wed, 05 Apr 2023 23:31:06 +0900http://kenji.blog/ko/p/%EC%8B%A4%ED%96%89-%ED%8C%8C%EC%9D%BCexe%EC%9D%98-%EB%82%B4%EC%9A%A9%EC%9D%84-%EB%B6%84%EC%84%9D%ED%95%98%EB%8A%94-%EB%8F%84%EA%B5%AC/<img src="http://kenji.blog/p/%E5%AE%9F%E8%A1%8C%E3%83%95%E3%82%A1%E3%82%A4%E3%83%ABexe%E3%81%AE%E4%B8%AD%E8%BA%AB%E3%82%92%E8%A7%A3%E6%9E%90%E3%81%99%E3%82%8B%E3%83%84%E3%83%BC%E3%83%AB/img_1.png" alt="Featured image of post 실행 파일(exe)의 내용을 분석하는 도구" /><h1 id="실행-파일exe이란">실행 파일(exe)이란? </h1><p>Windows상에서 실행 가능한 파일. 기본적으로는 PE 포맷이라고 불리는 형식으로 작성되어 있다. 실행하기 위한 기계어 코드나 아이콘, 이미지 등의 리소스가 포함되어 있다.</p> <p>실행 파일을 분석하기 위한 도구가 몇 가지 있으므로 이번에는 그것들을 소개한다.</p> <h2 id="7-zip">7-Zip </h2><p><img src="http://kenji.blog/p/%E5%AE%9F%E8%A1%8C%E3%83%95%E3%82%A1%E3%82%A4%E3%83%ABexe%E3%81%AE%E4%B8%AD%E8%BA%AB%E3%82%92%E8%A7%A3%E6%9E%90%E3%81%99%E3%82%8B%E3%83%84%E3%83%BC%E3%83%AB/img.png" width="297" height="170" srcset="http://kenji.blog/p/%E5%AE%9F%E8%A1%8C%E3%83%95%E3%82%A1%E3%82%A4%E3%83%ABexe%E3%81%AE%E4%B8%AD%E8%BA%AB%E3%82%92%E8%A7%A3%E6%9E%90%E3%81%99%E3%82%8B%E3%83%84%E3%83%BC%E3%83%AB/img_hu9085a5feff69a2c6829ff5c46ff00393_6059_480x0_resize_box_3.png 480w, http://kenji.blog/p/%E5%AE%9F%E8%A1%8C%E3%83%95%E3%82%A1%E3%82%A4%E3%83%ABexe%E3%81%AE%E4%B8%AD%E8%BA%AB%E3%82%92%E8%A7%A3%E6%9E%90%E3%81%99%E3%82%8B%E3%83%84%E3%83%BC%E3%83%AB/img_hu9085a5feff69a2c6829ff5c46ff00393_6059_1024x0_resize_box_3.png 1024w" loading="lazy" alt="img.png" class="gallery-image" data-flex-grow="174" data-flex-basis="419px" ></p> <p>EXE 파일은 그대로는 크기가 커지기 쉽기 때문에 파일 압축을 해서 생성되는 경우가 있습니다. 이 경우, 파일 압축 및 해제 소프트웨어인 7-Zip을 사용하여 실행 파일을 해제하고 내용을 조사할 수 있습니다. 동일하게 해제할 수 있는 도구로 WinRAR라는 것도 있습니다.</p> <h2 id="resource-hacker">Resource Hacker </h2><p><img src="http://kenji.blog/p/%E5%AE%9F%E8%A1%8C%E3%83%95%E3%82%A1%E3%82%A4%E3%83%ABexe%E3%81%AE%E4%B8%AD%E8%BA%AB%E3%82%92%E8%A7%A3%E6%9E%90%E3%81%99%E3%82%8B%E3%83%84%E3%83%BC%E3%83%AB/img_2.png" width="186" height="186" srcset="http://kenji.blog/p/%E5%AE%9F%E8%A1%8C%E3%83%95%E3%82%A1%E3%82%A4%E3%83%ABexe%E3%81%AE%E4%B8%AD%E8%BA%AB%E3%82%92%E8%A7%A3%E6%9E%90%E3%81%99%E3%82%8B%E3%83%84%E3%83%BC%E3%83%AB/img_2_hu79aaf5f76ad7c56f4d42723e7059a469_60178_480x0_resize_box_3.png 480w, http://kenji.blog/p/%E5%AE%9F%E8%A1%8C%E3%83%95%E3%82%A1%E3%82%A4%E3%83%ABexe%E3%81%AE%E4%B8%AD%E8%BA%AB%E3%82%92%E8%A7%A3%E6%9E%90%E3%81%99%E3%82%8B%E3%83%84%E3%83%BC%E3%83%AB/img_2_hu79aaf5f76ad7c56f4d42723e7059a469_60178_1024x0_resize_box_3.png 1024w" loading="lazy" alt="img_2.png" class="gallery-image" data-flex-grow="100" data-flex-basis="240px" ></p> <p>EXE 파일 내에 있는 리소스(아이콘, 비트맵, 대화 상자, 문자열 등)를 추출할 수 있습니다. 또한, 바이너리 에디터로도 기능하기 때문에 EXE 파일의 내용을 편집하여 다시 작성할 수도 있습니다.</p> <h2 id="pe-explorer">PE Explorer </h2><p><img src="http://kenji.blog/p/%E5%AE%9F%E8%A1%8C%E3%83%95%E3%82%A1%E3%82%A4%E3%83%ABexe%E3%81%AE%E4%B8%AD%E8%BA%AB%E3%82%92%E8%A7%A3%E6%9E%90%E3%81%99%E3%82%8B%E3%83%84%E3%83%BC%E3%83%AB/img_3.png" width="186" height="186" srcset="http://kenji.blog/p/%E5%AE%9F%E8%A1%8C%E3%83%95%E3%82%A1%E3%82%A4%E3%83%ABexe%E3%81%AE%E4%B8%AD%E8%BA%AB%E3%82%92%E8%A7%A3%E6%9E%90%E3%81%99%E3%82%8B%E3%83%84%E3%83%BC%E3%83%AB/img_3_hueb15d1af1c62b25c13fb3d7dc03fc6df_64201_480x0_resize_box_3.png 480w, http://kenji.blog/p/%E5%AE%9F%E8%A1%8C%E3%83%95%E3%82%A1%E3%82%A4%E3%83%ABexe%E3%81%AE%E4%B8%AD%E8%BA%AB%E3%82%92%E8%A7%A3%E6%9E%90%E3%81%99%E3%82%8B%E3%83%84%E3%83%BC%E3%83%AB/img_3_hueb15d1af1c62b25c13fb3d7dc03fc6df_64201_1024x0_resize_box_3.png 1024w" loading="lazy" alt="img_3.png" class="gallery-image" data-flex-grow="100" data-flex-basis="240px" ></p> <p>Windows용 PE 파일(EXE, DLL, OCX, SYS, 드라이버)을 분석할 수 있습니다. PE Explorer는 파일 구조 표시, 파일 헤더 표시, 디렉터리 항목 표시, 내보낸 함수 및 심볼 표시 등 다양한 분석 기능을 제공합니다.</p> <h2 id="dependency-walker">Dependency Walker </h2><p><img src="http://kenji.blog/p/%E5%AE%9F%E8%A1%8C%E3%83%95%E3%82%A1%E3%82%A4%E3%83%ABexe%E3%81%AE%E4%B8%AD%E8%BA%AB%E3%82%92%E8%A7%A3%E6%9E%90%E3%81%99%E3%82%8B%E3%83%84%E3%83%BC%E3%83%AB/img_4.png" width="200" height="200" srcset="http://kenji.blog/p/%E5%AE%9F%E8%A1%8C%E3%83%95%E3%82%A1%E3%82%A4%E3%83%ABexe%E3%81%AE%E4%B8%AD%E8%BA%AB%E3%82%92%E8%A7%A3%E6%9E%90%E3%81%99%E3%82%8B%E3%83%84%E3%83%BC%E3%83%AB/img_4_hub63c69aff9d8b5946247e847a7ad1fc0_3219_480x0_resize_box_3.png 480w, http://kenji.blog/p/%E5%AE%9F%E8%A1%8C%E3%83%95%E3%82%A1%E3%82%A4%E3%83%ABexe%E3%81%AE%E4%B8%AD%E8%BA%AB%E3%82%92%E8%A7%A3%E6%9E%90%E3%81%99%E3%82%8B%E3%83%84%E3%83%BC%E3%83%AB/img_4_hub63c69aff9d8b5946247e847a7ad1fc0_3219_1024x0_resize_box_3.png 1024w" loading="lazy" alt="img_4.png" class="gallery-image" data-flex-grow="100" data-flex-basis="240px" ></p> <p>EXE 파일이 의존하는 DLL 파일을 조사하고, 그것들이 올바르게 로드되어 있는지 여부를 확인할 수 있습니다. 또한, DLL 파일의 함수 호출을 추적할 수도 있습니다.</p> <h2 id="ghidra">Ghidra </h2><p><img src="http://kenji.blog/p/%E5%AE%9F%E8%A1%8C%E3%83%95%E3%82%A1%E3%82%A4%E3%83%ABexe%E3%81%AE%E4%B8%AD%E8%BA%AB%E3%82%92%E8%A7%A3%E6%9E%90%E3%81%99%E3%82%8B%E3%83%84%E3%83%BC%E3%83%AB/img_5.png" width="498" height="337" srcset="http://kenji.blog/p/%E5%AE%9F%E8%A1%8C%E3%83%95%E3%82%A1%E3%82%A4%E3%83%ABexe%E3%81%AE%E4%B8%AD%E8%BA%AB%E3%82%92%E8%A7%A3%E6%9E%90%E3%81%99%E3%82%8B%E3%83%84%E3%83%BC%E3%83%AB/img_5_hu5dc3fee7c4c873ff8adc099ca0ffbefc_53940_480x0_resize_box_3.png 480w, http://kenji.blog/p/%E5%AE%9F%E8%A1%8C%E3%83%95%E3%82%A1%E3%82%A4%E3%83%ABexe%E3%81%AE%E4%B8%AD%E8%BA%AB%E3%82%92%E8%A7%A3%E6%9E%90%E3%81%99%E3%82%8B%E3%83%84%E3%83%BC%E3%83%AB/img_5_hu5dc3fee7c4c873ff8adc099ca0ffbefc_53940_1024x0_resize_box_3.png 1024w" loading="lazy" alt="img_5.png" class="gallery-image" data-flex-grow="147" data-flex-basis="354px" ></p> <p>NSA(미국 국가안보국)가 개발하여 오픈소스로 무료 공개하고 있는 강력한 리버스 엔지니어링 도구입니다. EXE 파일의 디스어셈블(어셈블리 언어로의 변환)뿐만 아니라, C 언어에 가까운 형태로의 디컴파일 기능도 갖추고 있어 매우 인기가 있습니다.</p> <h2 id="ida-free--ida-pro">IDA Free / IDA Pro </h2><p><img src="http://kenji.blog/p/%E5%AE%9F%E8%A1%8C%E3%83%95%E3%82%A1%E3%82%A4%E3%83%ABexe%E3%81%AE%E4%B8%AD%E8%BA%AB%E3%82%92%E8%A7%A3%E6%9E%90%E3%81%99%E3%82%8B%E3%83%84%E3%83%BC%E3%83%AB/img_6.png" width="256" height="256" srcset="http://kenji.blog/p/%E5%AE%9F%E8%A1%8C%E3%83%95%E3%82%A1%E3%82%A4%E3%83%ABexe%E3%81%AE%E4%B8%AD%E8%BA%AB%E3%82%92%E8%A7%A3%E6%9E%90%E3%81%99%E3%82%8B%E3%83%84%E3%83%BC%E3%83%AB/img_6_hu960ac9a27bf840a560548c99c16556b4_3581_480x0_resize_box_3.png 480w, http://kenji.blog/p/%E5%AE%9F%E8%A1%8C%E3%83%95%E3%82%A1%E3%82%A4%E3%83%ABexe%E3%81%AE%E4%B8%AD%E8%BA%AB%E3%82%92%E8%A7%A3%E6%9E%90%E3%81%99%E3%82%8B%E3%83%84%E3%83%BC%E3%83%AB/img_6_hu960ac9a27bf840a560548c99c16556b4_3581_1024x0_resize_box_3.png 1024w" loading="lazy" alt="img_6.png" class="gallery-image" data-flex-grow="100" data-flex-basis="240px" ></p> <p>악성코드 분석이나 리버스 엔지니어링에 있어서 세계적인 업계 표준이 되고 있는 고기능 디스어셈블러 및 디컴파일러입니다. Pro 버전은 매우 비싸지만, 개인이나 비상업적 목적이라면 기능 제한 버전인 「IDA Free」를 무료로 이용할 수 있습니다.</p> <h2 id="x64dbg-x32dbg">x64dbg (x32dbg) </h2><p><img src="http://kenji.blog/p/%E5%AE%9F%E8%A1%8C%E3%83%95%E3%82%A1%E3%82%A4%E3%83%ABexe%E3%81%AE%E4%B8%AD%E8%BA%AB%E3%82%92%E8%A7%A3%E6%9E%90%E3%81%99%E3%82%8B%E3%83%84%E3%83%BC%E3%83%AB/img_7.png" width="479" height="430" srcset="http://kenji.blog/p/%E5%AE%9F%E8%A1%8C%E3%83%95%E3%82%A1%E3%82%A4%E3%83%ABexe%E3%81%AE%E4%B8%AD%E8%BA%AB%E3%82%92%E8%A7%A3%E6%9E%90%E3%81%99%E3%82%8B%E3%83%84%E3%83%BC%E3%83%AB/img_7_hube21c1a0d75785c568f5805ce2a13d30_21845_480x0_resize_box_3.png 480w, http://kenji.blog/p/%E5%AE%9F%E8%A1%8C%E3%83%95%E3%82%A1%E3%82%A4%E3%83%ABexe%E3%81%AE%E4%B8%AD%E8%BA%AB%E3%82%92%E8%A7%A3%E6%9E%90%E3%81%99%E3%82%8B%E3%83%84%E3%83%BC%E3%83%AB/img_7_hube21c1a0d75785c568f5805ce2a13d30_21845_1024x0_resize_box_3.png 1024w" loading="lazy" alt="img_7.png" class="gallery-image" data-flex-grow="111" data-flex-basis="267px" ></p> <p>Windows용 오픈소스 디버거입니다. 실행 파일을 실행하면서 내용이나 메모리의 상태를 단계별로 실행하여 분석하는 「동적 분석」에 특화되어 있으며, 크랙미(분석용 과제 프로그램) 해독이나 악성코드 동작 조사에 자주 사용됩니다.</p> <h2 id="ilspy--dotpeek">ILSpy / dotPeek </h2><p><img src="http://kenji.blog/p/%E5%AE%9F%E8%A1%8C%E3%83%95%E3%82%A1%E3%82%A4%E3%83%ABexe%E3%81%AE%E4%B8%AD%E8%BA%AB%E3%82%92%E8%A7%A3%E6%9E%90%E3%81%99%E3%82%8B%E3%83%84%E3%83%BC%E3%83%AB/img_8.png" width="256" height="256" srcset="http://kenji.blog/p/%E5%AE%9F%E8%A1%8C%E3%83%95%E3%82%A1%E3%82%A4%E3%83%ABexe%E3%81%AE%E4%B8%AD%E8%BA%AB%E3%82%92%E8%A7%A3%E6%9E%90%E3%81%99%E3%82%8B%E3%83%84%E3%83%BC%E3%83%AB/img_8_hu85c069d4379e159e6158cf86ba41fdc9_34476_480x0_resize_box_3.png 480w, http://kenji.blog/p/%E5%AE%9F%E8%A1%8C%E3%83%95%E3%82%A1%E3%82%A4%E3%83%ABexe%E3%81%AE%E4%B8%AD%E8%BA%AB%E3%82%92%E8%A7%A3%E6%9E%90%E3%81%99%E3%82%8B%E3%83%84%E3%83%BC%E3%83%AB/img_8_hu85c069d4379e159e6158cf86ba41fdc9_34476_1024x0_resize_box_3.png 1024w" loading="lazy" alt="img_8.png" class="gallery-image" data-flex-grow="100" data-flex-basis="240px" ></p> <p>만약 대상 EXE 파일이 C# 등의 .NET 계열 언어로 만들어져 있다면, 이 도구들을 사용하여 원래의 소스 코드와 거의 동일한 상태로 역컴파일(디컴파일)하여 내용을 완전히 파악할 수 있습니다.</p> <p>이러한 도구들은 EXE 파일의 내용을 조사하는 데 유용하지만, 주의가 필요합니다. 파일을 편집하거나 부정당한 용도로 이용하는 것은 저작권법이나 보안상 문제를 일으킬 가능성이 있기 때문에 충분히 이해한 후 사용해 주세요.</p>