리버싱 - Bush hid the facts, 윈도우 XP 메모장 버그

문제 확인

 

1. 메모장을 새로 만들어서 안에 "Bush hid the facts"를 입력한다. 

"부시 대통령은 진실을 숨기고 있다"라는 뜻의 심오한(?) 내용이다.

 

2. 메모장을 저장한 후에 다시 파일의 내용을 들여다본다. 

그러자 본래 내용이 없어지고 글자가 깨져서 나온다. 

 

문제 분석

 

1. 혹시나 메모장에서 발생하는 오류 아닐까 하고 cmd 창에서 type 명령어로 파일의 내용을 확인해 보았다. 

확인해본 결과 실제 파일의 내용은 그대로인걸 보아 메모장에서 생기는 오류인 것이다. 

 

 

2. 깨진 파일을 (B.txt로) 저장하고 헥스 에디터로 분석해본다. 

A.txt의 헥스 값들

B.txt의 헥스 값들

분석을 해보면 원본인 A.txt는 내용이 잘 저장되있는 반면 B.txt는 내용 앞에 FF FE라는 파일 헤더가 들어가게 된다. 

확인해 본 결과 FF FE는 UTF-16를 의미하는 파일 헤더인 것으로 확인 됐다. (https://en.wikipedia.org/wiki/Byte_order_mark)

 

UTF-16 문자는 2바이트씩 글자를 묶기 때문에 B와 u를 의미하는 ANSI 값 0x42와 0x75를 하나의 문자인 0x4275로 인식한 것이다. 

거기다 리틀엔디언 방식인 이유로 파일을 읽을 때 0x7542 이렇게 바이트 순서 앞뒤가 바뀐다. 

 

B u => 42 75 => 7542

s h => 73 68 => 6873

(공백) h => 20 68 => 6820

i d => 69 64 => 6469

(공백) t => 20 74 => 7420

h e => 68 65 => 6568

(공백) f => 20 66 => 6622

a c => 61 63 => 6361

t s => 74 73 => 7374

 

 

메모장에 저장된 문자들의 유니코드를 추출해보니 예상과 정확하게 일치하는 것을 확인할 수 있었다. 

 

 

문제 원인

문제 원인으로는 윈도우 API 함수인 IsTextUnicode가 문제라고 한다. 사실 bush hid the facts 외에도 비슷한 4-3-3-5 길이의 문자들 일부도 이에 버그가 발생한다고 한다. 이 메모장 오류는 Windows XP, Windows 2000에서만 볼 수 있다. 

 

 

 

도움을 준 사이트들: 

https://dencode.com/string/hex

https://unicodemap.org/search.asp 

 

참고: 

https://ko.wikipedia.org/wiki/Bush_hid_the_facts

https://namu.wiki/w/bush%20hid%20the%20facts

https://www.youtube.com/watch?v=sPShnuBSvBg