Anonymous (0)
비회원
|  게시일: 2006-06-14 13:34| |
토탈커맨더에서 UPX 압축을 제대로 인식하지 못하는 일이 있었다. DoA 님께서 올려주신 파일을 적용해도 역시 제대로 인식하지 못하는 파일이 있었다.
왜 그런지를 알아보려고 멀티아크(MultiArc) 플러그인에 애드온으로 제공되는 파일(UPX4TC 1.1 beta)을 살펴보았다. 또한 실제로 압축을 한 뒤에 또는 이미 압축된 파일을 헥사에디터(xvi32)로 살펴보았다.
우선 UPX로 압축한 실행파일(.EXE/.DLL/.OCX 등과 모든 토탈커맨더 확장)은 그 헤더에 UPX에 압축에 대한 내용(ID; 인식자)이 들어간다. 우선 내가 분석한 내용은 이렇다.
(0) 멀티아크 애드온에 들어 있는 내용은 인식자(ID) UPX!와 그 앞 5바이트에 대한 내용이었다.
(1) 1.2 버전 이상에서 인식자는 대부분 1024 바이트 이내에 존재한다.
(2) 1.2 버전 이상에서 공통으로 나타나는 인식자는 UPX0, UPX1, UPX!와 같이 세(3) 개이다.
(3) 위 (2)의 인식자는 그 위치가 바뀐다.
(4) 1.2 버전 이상에서, UPX! 인식자에서 앞으로 5바이트를 이동하면 압축한 버전이 나타나 있다. 예를 들면 992바이트째에서 UPX! 인식자가 나타나면, 987바이트에서 1.2n 또는 1.9m과 같은 버전 번호가 보인다. (n,m은 숫자이다.)
(5) 1.2 버전 이상에서, 특별한 때에 512바이트 이후에 UPX2 인식자가 존재하기도 하며, 역시 특별한 때에 20KB 이후에 UPX와 관련한 인식자가 존재하기도 한다.
**(1)에서 (5)를 종합하면, UPX!인식자의 첫글자 U는 450바이트에서 512바이트 사이에 존재하거나 900바이트에서 1024바이트 사이에 존재한다. 아직까지 예외는 없었다.
(6) 몇몇 0.9 버전에서는 친절하게 버전 번호(UPX 0.9 compressed 메시지)와 함께 홈페이지 주소(http://upx.sourceforge.net/)가 인식자로 들어 있었다.
p.s.
이 실험은 실행 여부는 따지지 않고 UPX 압축의 인식자의 위치만을 따졌다. 괜히 토탈커맨더 플러그인을 몽땅 압축한 뒤에 오류가 생긴다는 보고는 사양하겠다.
(실제로 몇몇 플러그인은 실행시간이 매우 느려지거나 아예 실행이 되지 않았다. 이는 다른 프로그램도 마찬가지다. 백업/테스트 옵션은 필수!)
[ 메시지수정: salm2000 일시: 2006-06-14 13:38 ] |
(