실행 압축 테스트

이번에는 실행 압축 테스트를 해보려고 한다. 실제로 notrpad.exe를 실행 합축해보자.

사용할 패커는 UPX이다. 무료이며 사용이 편리하며 기본 기능에 충실하기에 인기가 있다.

먼저 upx파일이 위치한 폴더로 가서 CMD 창에 UPX를 입력해보자.

아래의 화면에 보이는 것과 같이 입력을 해주면 메모장이 압축되어 지는 것을 볼 수 있다.

참고로 ZIP 압축을 하면 35,231 크기로 줄어든다. 일반적인 ZIP 압축보다 압축률이 떨어진다고 볼 수 있는데,

그 이유는 결과물이 PE 파일이기 때문에 PE 헤더를 추가해야 하고, 압축해제를 위한 코드도 넣어야 하기 때문이다.

notepad_upx.exe와 NOTEPAD.EXE 파일 비교해보자.

위의 그림은 UPX 패커의 특징이 잘 나타나 있다. 

1. PE header의 크기는 동일하다 (0 ~ 400h 영역)

2. 섹션 이름 변경

3. 첫 번째 섹션의 RawDataSize = 0 (파일에서의 크기는 0)

4. EP는 두 번째 섹션에 위치

5. 리소스 섹션의 크기는 거의 변하지 않았음

<출처 : 리버싱 핵심원리 >