Software Engineer English & Software Engineering Blog - Sean

x64dbg에서 패치한 파일은 아래와 같이 ollydbg와는 다른 방식으로 저장한다.

필요한 부분을 패치 한다. 아래 예에서는 4바이트를 패치 했다.

File - Patch file... 을 클릭 한다.

패치된 4바이트가 표시 된다. Patch File 버튼을 클릭 한다.

원하는 이름을 입력하고 저장 버튼을 클릭 한다.

패치가 적용되었다는 메세지 박스가 나타난다.

지정된 폴더에 패치된 파일이 생성되어 있다.

x64dbg를 설치하고 실행해 보면 아래와 같이 밝은 배경으로 표시 된다.

아래 링크에서 원하는 Color Scheme을 다운 받고 압축을 풀어 주자. (

)

x64dbg Color Schemes

Options - Import settings... 를 선택 한다.

다운 받은 Color Scheme 파일을 선택해 준다.

선택한 Color Scheme이 바로 적용 된다.

파일을 열어 보면 아래와 같이 표시 된다.

※ 참고: 포인터 스캐너 사용법

Cheat Engine으로 간단하게 Pointer를 찾을 수 있다.

Cheat Engine에서 Tutorial 프로세스를 열어 준다. Value를 변경해 가며 정확한 Address를 찾는다.

찾은 Address에서 오른쪽 클릭 하고 'Find out what accesses this address'를 클릭한다.

Cheat Engine에 debugger를 붙여 준다.

아래와 같은 창이 뜬다.

Tutorial로 돌아가 Change value 버튼을 클릭해 값을 변경 하면 018F3D30 주소에 접근한 opcode들이 표시 된다. 그 중 두 번째 opcode가 018F3D30 위치의 값을 바꾼다는 것을 알 수 있다. (아래 창에서 << 표시된 opcode) More information을 클릭하면 약간의 추가 정보가 표시 된다.

Cheat Engine에서 value가 저장된 Address인 018F3D30을 다시 Hex scan 한다.

018F3D30이 저장된 Address가 Pointer의 Address 이다. Add Address Manually 버튼을 클릭한다.

Pointer를 체크한다.

Pointer의 Address를 입력한다. offset 값은 없으므로 0으로 둔다.

Value가 저장된 위치를 가리키는 Pointer가 추가 된다.

Value를 5000으로 수정하고 Active를 체크한다. (Value가 5000으로 고정 된다)

Tutorial에서 Change value 버튼을 클릭하면 Value가 바뀌지만 메모리 상에서는 다시 5000으로 돌아간다. Change pointer 버튼을 클릭하면 Pointer가 가리키는 주소(Value 값이 저장된 주소)가 바뀌고 Cheat Engine 에서 찾아 놓은 Pointer 가 가리키는 주소값도 똑같이 바뀐다. Next 버튼이 활성화 되고 Pointer를 찾았음을 확인 할 수 있다.

이번에는 아래와 같은 코드로 프로그램을 만들어서 정확히 확인해 보자. 

프로그램을 실행 시키면 포인터에 저장된 주소(p)와 그 주소에 저장된 값(*p)이 표시 된다.

아래와 같이 1을 선택하면 값을 1 증가 시키고 2를 선택하면 포인터에 저장된 주소를 다시 할당 한다.

프로그램을 다시 실행하고 Cheat Engine으로 Value를 변경해 가며 주소를 찾는다.

프로그램에서 주소값을 표시해 주므로 Cheat Engine에서 찾은 주소가 맞는지 쉽게 확인 된다.

마찬가지로 Find out what accesses this address 로 어떤 코드가 이 주소에 접근하는지 확인해 보자.

More informatioin의 내용도 확인해 보자.

Value의 주소값을 Hex Scan으로 검색한다. 아래와 같이 두 개의 주소가 확인 되었다.

프로그램에서 2번을 선택해 Pointer가 가리키는 주소를 변경해 보자.

00F3F764에 저장된 값이 프로그램과 동일하게 변경되는걸 확인 할 수 있다. 00F3F764가 포인터의 주소이다.

Add Address Manually로 Pointer를 추가해 준다.

프로그램에서 Value와 Pointer value를 변경하면 Cheat Engine에 찾아 놓은 포인터에도 똑같이 적용되는걸 확인 할 수 있다.

ollydbg에서 jump 명령어 실행 시 이동되는 위치는 시각적으로 명확히 표시되지 않는것이 기본 세팅 이다.

ollydbg.ini 파일에서 아래와 같은 항목들의 값을 1로 바꿔 준다.

• Show jump path
• Show jumpfrom path
• Show path if jump is not taken

ollydbg를 실행해서 확인하면 아래와 같이 화살표로 jump 가 명확히 표시된다.