악성코드분석🍳/Windows

x64 dbg 설치 및 플러그인 적용(악성코드분석, 리버싱)

壓倒 2022. 12. 20. 02:53

x64 dbg란?


리버싱 공부 War game 풀이를 할 때 사용하는 디버거 프로그램 중 하나로, 최근 가장 많이 쓰는 디버거이다. 기존에는 Ollydbg를 사용하였으나 x64dbg에 비해 UI가 노후화되었고 덜 직관적이라고 판단하여 x64dbg를 주로 사용하고 있다.

x64 dbg는 총 5개의 기본 덤프 창, 내장 어셈블러, Yara Pattern 매칭, 속도가 빠른 다스어셈플러, 쓰레드 확인 등 여러 기능을 제공하고 있다.

x64 dbg 설치


x64dbg 설치는 아래의 링크에서 설치할 수 있다.

x64dbg - Browse /snapshots at SourceForge.net
An open-source x64/x32 debugger for windows.
https://sourceforge.net/projects/x64dbg/files/snapshots/

해당 링크로 들어가 가장 상단에 위치하는 버전의 폴더를 다운로드한다.

다운로드 파일

해당 파일을 다운로드 할 경우 다음과 같이 구성되어있다.

내부 구성 파일

실제 x64 dbg, x32 dbg 파일은 release 파일에 존재하며 더블 클릭만으로 쉽게 실행할 수 있다.

x32dbg.exe

x64 dbg 플러그인


주로 악성코드분석을 하기 위해 x64 dbg를 사용하고 있으며 반드시 필요하다고 생각하는 플러그인은 Scylla, xAnalyzer이다.

Scylla 플러그인의 경우 x64 dbg 내 자체 내장되어 있고 xAnalyzer의 경우 별도의 설치 과정이 필요하다.

Scylla

xAnalyzer 설치 방법은 다음과 같다.

아래의 깃허브에 접속하여 README.md에 존재하는 latest release 를 클릭한다.

https://github.com/ThunderCls/xAnalyzer

leatest release를 들어갈 경우 apis_def.zip, xAnalyzer.dp32, xAnalyzer.dp64 를 포함한 총 5개의 파일이 존재한다.

5개의 파일 중 apis_def.zip, xAnalyzer.dp32, xAnalyzer.dp64 해당 3개의 파일을 다운로드 하고 snapshot_2022-12-12_15-45\release\x32\plugins 경로에는 xAnalyze.dp32, apis_def 파일을 넣고 snapshot_2022-12-12_15-45\release\x64\plugins 경로에는 xAnalyze.dp64, apis_def 파일을 넣으면 플러그인이 정상적으로 적용된다.

plugins 디렉토리가 존재하지 않을 경우?

→ 해당 경우의 원인은 x64 dbg.exe, x32 dbg.exe 파일을 한번도 실행하지 않아서 생기지 않은 것이므로 실행만 시켜준다면 즉시 생성되어 정상적으로 plugins 디렉토리가 생성된다.

오류, 잘못된 점 또는 궁금한 점이 있으시다면 댓글 남겨주세요❗


Uploaded by N2T