[STUDY] #WEEK2 - QUIZ

# Notepad Quiz-1

먼저 HxD 프로그램으로 notepad.exe와 notepad_quiz(1) 파일을 열고 둘을 비교하면서 분석을 해보았습니다!

notepad_quiz(1) 같은 경우에는 앞아 e_magic("MZ") 대신에 EVI$ION이 있다는 걸 확인했습니다.

EVI$ION을 MZ로 바꿔서 저장을 해준 뒤 cmd를 통해 실행을 했더니 정상적으로 메모장이 실행되었습니다!

---

# Notepad Quiz-2

notepad_quiz(2)도 똑같이 HxD프로그램으로 열고 비교하면서 분석을 했습니다.

quiz2는 앞에 e_magic이 빠진 걸 확인했고 헤더의 끝부분에 000000E0으로 e_lfanew가 설정되어 있지 않다는 것도 확인을 했습니다.

그리고, 시그니처 PE가 빠져있다는 것도 알아냈습니다.

 

그래서, e_magic, e_lfanew, 시그니처를 설정을 다 하고 저장을 한 뒤

cmd로 실행하니 정상적으로 메모장이 실행되었습니다.

---

# Notepad Quiz-3

정상적인 notepad.exe 파일과 비교를 하니 Offset 00000130 0B 부분에 02 대신에 01이 들어가 있다는 것을 알아냈고

그래서 02로 다시 수정을 하고 실행을 해보니 정상적으로 메모장이 실행되었습니다.

---

# Notepad Quiz-4

정상적인 notepad.exe 파일과 비교를 하니 Offset 000000E0 06 부분에 03 대신에 02가 들어가 있다는 것을 알아냈고

그래서 03으로 다시 수정을 하고 실행을 해보니 정상적으로 메모장이 실행되었습니다.

---