자동 실행 등록 프로그램(C++) 리버싱

특정 프로그램을 자동 실행하도록 레지스트리에 등록하는 C++ 프로그램을 리버싱해보겠습니다.

 

#include <windows.h>
#include <iostream>

void AddToStartup(const std::wstring& appName, const std::wstring& appPath) {
    // 레지스트리 키를 열기
    HKEY hKey;
    LONG result = RegOpenKeyEx(HKEY_CURRENT_USER,
        L"SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Run",
        0,
        KEY_SET_VALUE,
        &hKey);

    if (result != ERROR_SUCCESS) {
        std::cerr << "레지스트리 키 열기 실패" << std::endl;
        return;
    }

    // 레지스트리에 프로그램 등록
    result = RegSetValueEx(hKey, appName.c_str(), 0, REG_SZ,
        reinterpret_cast<const BYTE*>(appPath.c_str()),
        (appPath.size() + 1) * sizeof(wchar_t));

    if (result != ERROR_SUCCESS) {
        std::cerr << "레지스트리 값 설정 실패" << std::endl;
    }
    else {
        std::cout << "프로그램이 자동 실행에 성공적으로 추가되었습니다." << std::endl;
    }

    // 레지스트리 키 닫기
    RegCloseKey(hKey);
}

int main() {
    std::wstring appName = L"MyApp"; // 레지스트리에 등록할 이름
    std::wstring appPath = L"E:\\Office 2022\\HOffice120\\Bin\\Hwp.exe"; // 실행할 프로그램의 경로

    AddToStartup(appName, appPath);

    return 0;
}

 

---

 

 

1. 변수 정의

자동 실행 대상의 앱 이름과 경로를 변수에 저장

&v13에 문자열 "MyApp", &v12에 문자열 "E:\\Office 2022\\HOffice120\\Bin\\Hwp.exe" 저장

 

• &v13
  v13 객체의 주소를 의미
  메모리 공간
  
  
• std::allocator
  메모리 할당을 담당하는 표준 메모리 관리자
  메모리 할당 및 해제하는 방법을 제공

 

 

 

2. 특정 레지스트리 키 열기

레지스트리 키를 열고, 그 과정에서 에러 발생 시 예외 (메세지) 출력

• std::operator<<
  스트림 삽입 연산자(operator<<)
  출력 스트림 객체에 데이터를 삽입하는 데 사용
  연산자 오버로딩과 관련된 기능을 나타냄
   * 연산자 오버로딩(operator overloading): 기본적으로 제공되는 연산자(+, -, *, << 등)를 사용자 정의 타입에 대해 동작하도록 할 수 있음
  
  
• std::char_traits<char>
  char에 대한 특성(traits)을 정의하는 기본 구현체
  특정 타입에 대한 여러 작업(비교, 복사, 길이 측정 등)을 정의
  
  
• std::basic_ostream
  스트림 출력 기능을 처리하는 기본 클래스
  그 중에서도 char 타입을 다룸

 

 

이때, 함수를 호출할 때 필요한 인수는 다음 레지스터 및 스택에 순서대로 저장됩니다. (Window x64 환경 기준)

• RCX, RDX, R8, R9, 나머지는 스택

RegOpenKeyEx가 호출될 때의 레지스터

 

RegOpenKeyEx API 호출 후 에러 발생 시 예외 메세지(&Val)를 출력

레지스트리 오픈 실패 시 메세지

 

 

 

3. 메모리 공간 관리

변수 문자열의 크기를 검사

v1 = &v12 = appPath, v2 = &v13 = appName가 저장되어 있음

 

• v12._Mypair._Myval2._Myres
  v12의 메모리 용량이 할당된 메모리 공간
  
  
  • _Mypair._Myval2._Myres
    std::basic_string 객체가 현재 할당한 메모리의 용량
    현재 문자열이 포함하고 있는 데이터보다 더 많은 문자를 저장할 수 있도록 할당된 메모리 공간의 크기
    
    
• v12._Mypair._Myval2._Myres > 7
  v12가 7개 이상의 문자(wchar_t)를 저장할 수 있을 만큼의 메모리를 할당하고 있는지 확인
  목적: 메모리 용량이 충분할 때만 문자열 데이터에 직접 접근하려는 목적이며, 성능 최적화 또는 메모리 관리를 위함
  
  
  • 왜 7인지??
    보통 문자열 메모리를 동적으로 확보하지만, 작은 크기의 문자열인 경우 동적 할당을 하지 않습니다. 이를 작은 문자열 최적화(SSO, Small String Optimization)라고 합니다. 각 컴파일러마다 다르지만 제가 사용한 MSVC(Microsoft Visual C++)인 경우에 최적화된 초기 버퍼 크기는 7로 설정됩니다. 크기 7 이하인 경우 내부 버퍼에 저장되고, 초과되는 경우에는 동적으로 메모리 할당을 하게 됩니다.
    std::basic_string(std::string)는 최대 15-16바이트까지는 힙 할당 없이 내부 고정된 버퍼에 문자열 데이터를 저장합니다. 해당 버퍼의 크기는 최대 7개의 wchar_t(7개의 2바이트 유니코드 문자)를 저장할 수 있는 크기입니다.
    ∴ MSVC의 std::basic_string<wchar_t> 구현에서 SSO로 처리 가능한 최대 크기 = 7
    
      * SSO: 동적 메모리 할당 없이 문자열 데이터를 스택에 할당하여 성능을 최적화하는 기법.
    문자열이 일정 크기 이하일 경우, 그 문자열 데이터를 동적 메모리(heap)에 할당하지 않고 문자열을 객체 내부의 고정된 배열에 저장하는 방식
    
    
• v12._Mypair._Myval2._Bx._Ptr
  v12가 저장된 메모리 주소
  
  
  • _Mypair._Myval2._Bx._Ptr
    실제 문자열 데이터가 저장된 메모리 주소
    
    
• _Mypair._Myval2._Bx._Buf
  std::basic_string 클래스에서 문자열을 저장하는데 사용되는 내부 구조체
  SSO 기법을 적용할 때 사용되는 고정된 버퍼
  

 

 

std::basic_string의 내부 구조 (MSVC 구현)

struct _Mypair {
    struct _Myval2 {
        size_t _Mysize;      // 문자열의 실제 길이 (문자 개수)
        size_t _Myres;       // 할당된 버퍼의 크기 (현재 문자열을 저장할 수 있는 용량)
        
        union {
            wchar_t* _Ptr;   // 동적 할당된 메모리를 가리키는 포인터 (_Myres > SSO 크기일 때 사용)
            wchar_t _Buf[SSO_SIZE];  // SSO를 위한 고정 크기 버퍼 (작은 문자열을 저장)
        } _Bx;
    } _Myval2;
};

 

 

 

4. 레지스트리 등록

레지스트리에서 프로그램을 등록하고(RegSetValueExW), 그 과정에서 에러 발생 시 예외 (메시지) 출력
그리고 열린 레지스트리 키를 닫음(RegCloseKey)

 

• 1u
  데이터 타입을 나타내며 문자열 타입(REG_SZ)을 의미함
  
  
• ODWORD
  Windows API에서 사용하는 매크로 중 하나로, 32비트 값에서 하위 16비트를 추출
  DWORD 타입 값을 다룰 때 상/하위 16비트를 분리하여 처리하는 상황에서 사용
  * HIDWORD는 상위 16비트를 추출
  
  
  • DWORD(Double WORD)
    32비트(4바이트) 크기의 부호 없는 정수를 나타내는 데이터 타입
    
    
• &unk_140003448
  주소 연산자 &를 통해 특정 메모리 위치에 위치한 변수 unk_1440003448를 가리킴(unk: unknown)
  해당 주소에 위치한 데이터는 레지스트리 등록 성공 시 출력하는 메세지
  

  

  레지스트리 등록 성공 시 메세지

• &byte_140003460
  byte 접두어가 붙은 만큼 바이트 단위의 데이터나 특정 바이트 배열을 나타내는 변수일 가능성이 큼
  해당 주소에 위치한 데이터는 레지스트리 등록 실패 시 출력하는 메세지
  

  

  레지스트리 등록 실패 시 메세지