[SESSION] 1. 리버싱 기초

어셈블리어

ADD A B	A와 B를 더한 값을 A에 저장
SUB A B	A에서 B를 뺀 값을 A에 저장
MUL A B	A와 B를 곱한 값을 A에 저장
DIV A B	A와 B를 나눈 값을 A에 저장
MOV A B	A에 B를 저장
JMP Addr	Addr이 가리키는 주소로 이동
CALL Func	Func 함수를 실행
CMP A B	A와 B를 비교해 값이 같다면 ZF 레지스터가 1로 세팅, 다르면 0으로 세팅됨

 

• JMP와 CALL은 둘 다 프로그램 실행 흐름이 변경되다는 것은 동일하나,
• JMP는 해당 주소로 가는 것
• CALL은 해당 함수를 호출하며 이동한 후, 끝나면 원래 주소로 돌아옴

비트연산자

 

비트 시프트 연산

• SHL(Shift Left, 왼쪽 시프트)
  
  • 5 << 2는 숫자 5를 왼쪽으로 2번 시프트 하는 연산
  • 5는 2진수로 101이다.
  • 101 << 2 = 10100
    • 즉, 101에서 왼쪽으로 2번 이동하여, 빈자리는 0으로 채워진다.
• SHR(Shift Right, 오른쪽 시프트)
  • 6 >> 1은 숫자 6을 오른쪽으로 1번 시프트 하는 연산
  • 6은 2진수로 110이다.
  • 110 >> 1 = 0011
    • 즉, 110에서 오른쪽으로 1번 이동하며, 빈자리는 0으로 채워진다.

---

레지스터

CPU

• 시스템의 중앙에서 모든 계산과 명령 처리를 담당
• Interrupt line: 각 장치나 작업에서 발생하는 인터럽트를 CPU로 전달하는 통로입니다. 인터럽트는 CPU의 작업을 잠시 멈추고 즉시 처리해야 할 작업이 있을 때 사용
• Mode bit 및 Registers: CPU는 여러 모드에서 작업을 수행할 수 있습니다. Mode bit는 CPU가 현재 어떤 모드(사용자 모드 또는 커널 모드)로 작동하는지를 나타내며, 레지스터는 계산에 필요한 임시 데이터를 저장하는 고속 기억 장치

Memory Controller (메모리 제어기)

• CPU와 메모리 간의 데이터 이동을 관리합니다. CPU가 메모리에 접근할 수 있도록 중간에서 조정하는 역할

Memory (메모리)

• 시스템 메모리는 운영 체제(OS)와 사용자 프로그램을 저장
• CPU는 메모리에서 데이터를 읽고 쓰며, 프로그램 실행에 필요한 데이터를 가져온다

DMA Controller (직접 메모리 접근 제어기)

• CPU를 거치지 않고도 메모리와 장치 간에 직접 데이터를 전송할 수 있도록 도와주는 장치입니다. 이를 통해 CPU는 다른 작업에 집중할 수 있고, 데이터 전송은 효율적으로 이루어집니다
• Timer는 작업의 시간을 측정하거나 일정 시간 이후에 작업을 실행하는 데 사용

Device Controller (장치 제어기)

• CPU와 주변 장치(디스크, 프린터, 키보드, 모니터 등) 간의 데이터를 중재
• 각각의 장치에는 고유의 Device controller가 있고, 이를 통해 장치가 CPU의 명령을 받아 실행

Disk, Printer, Monitor 등 장치

• Disk: 데이터가 저장되는 곳으로, CPU의 명령에 따라 데이터를 읽고 씁니다.
• Printer: CPU의 명령에 따라 인쇄 작업을 수행하는 장치입니다.
• Local buffer: 장치 제어기나 주변 장치가 데이터를 임시로 저장하는 공간입니다. 장치에서 데이터를 전송하거나 받을 때 사용됩니다.
• Monitor: 사용자에게 데이터를 시각적으로 보여주는 장치입니다.

---

1. 산술연산에 사용되는 범용레지스터

• EAX (Extended Accumulator Register): 곱셈과 나눗셈 명령에서 자동으로 사용되고 함수의 리턴값이 저장되는 용도로 사용 → 산술 연산에 사용
• EBX (Extended Base Register): ESI나 EDI와 결합하여 인덱스에 사용 → 특정 주소 저장
• ECX (Extended Counter Register): 반복 명령어 사용 시 반복 카운터로 사용 → 숫자를 카운터 할때 사용되거나, 계산할 때 임시 저장
• EDX (Extended Data Register): EAX와 같이 쓰이며 부호 확장 명령 등에 사용 → 일반 자료 저장

 

2. 인덱스 레지스터

• 인덱스로 사용, 그 외에도 매개변수로써의 역할도 한다.
• RDI (Destination Index): 문자열 관련 instruction 사용 시, Destination
• RSI (Extended Sorce Index): 문자열 관련 instruction 사용 시, Source

3. 포인터 레지스터

• RSP (Stack Point): 스택프레임에서 스택의 끝 지점 주소(현재 스택 주소)가 저장된다.
  
  • 즉, 데이터가 계속 쌓일 때 스택의 가장 높은 곳을 가리킨다.
  • push, pop 명령을 통해 RSP 값이 위아래로 8바이트씩 이동하면서 스택프레임의 크기를 변경하게 된다.
• RBP (Base Point): 함수가 호출되면 스택프레임이 형성되는데 이 스택프레임의 시작 지점 주소(스택 복귀 주소)가 저장된다.

---

디버거

 

---

함수 호출 구조

• 코드 세그먼트: CPU에서 실행되는 바이트 코드를 담고 있음
• 데이터 세그먼트
  • 문자열 상수 목록: 프로그램을 작성하다가 큰따옴표로 묶은 문자열을 담고 있는 공간
  • 전역 변수: 함수 외 바깥에서 선언한 변수를 관리하는 공간
  • static 변수: 전역 변수의 특성과 지역 변수의 특성을 고루 갖춘 static으로 선언된 변수를 관리하는 공간
• 엑스트라 세그먼트
  • 힙 (Heap): 동적 할당으로 메모리를 할당 받았을 때 사용하는 공간
  • 스택 (Stack): 코드 상에 드러나 있는 메모리(변수 등)를 관리하는 공간

---

#include <stdio.h> 

void funcA(int v){ 
	printf("%d\n", b); 
} 

void funcB(int* v){ 
	printf("%d\n", *v); 
} 

int main(void){ 
	int num; num = 5; 
	funcA(num); 
	num = 13; 
	funcB(&num); 
	return 0; 
}

• 각 함수 호출 시 스택에서 발생하는 상황
  
  • 함수가 호출될 때마다 스택에 새로운 정보가 쌓인다.
  • 함수가 끝나면 스택에서 그 함수에 대한 정보가 제거된다.
• 스택 구조의 계층
  • 상위에 있는 데이터가 가장 최근에 추가된 함수나 변수에 대한 정보를 담고 있다.
  • 스택의 내용은 함수 호출 순서대로 관리되며, 각 함수가 호출될 때 그에 관련된 정보(매개변수, 반환 주소 등)가 스택에 저장된다.
• 구체적인 스택 동작
  • main() 함수가 실행될 때, main 함수에 대한 정보가 스택에 쌓인다.
  • funA(num) 호출 시, funA 함수에 대한 정보와 매개변수 int v가 스택에 저장된다.
  • funB(&num) 호출 시, funB 함수에 대한 정보와 매개변수 int* v가 저장된다.
• 스택에서의 변수 처리
  • funcA는 num의 값을 복사하여 스택에 저장하고, 값을 직접 출력한다.
  • funcB는 num의 주소를 전달받아 그 주소에 저장된 값을 역참조(*v)하여 출력한다.
• 코드 실행 흐름
  • funcA(num)에서는 num의 값(5)이 스택에 저장되고 출력된다.
  • funcB(&num)에서는 num의 주소가 스택에 저장되며, 그 주소를 참조해 13이라는 값이 출력된다.

---

함수 호출 규약

• 함수가 호출되기 전, 함수에 전달될 파라미터는 스택에 저장된다.
• 함수가 실행되고 나면, 파라미터는 여전히 스택에 남아있지만, 이후의 스택 사용에 의해 덮어쓰일 수 있습니다.
• 프로세스의 실행과 동시에 스택 메모리의 크기가 결정됩니다. 즉, 각 프로그램마다 스택 메모리의 크기가 다르게 설정되며, 이 크기 내에서 함수 호출 시 필요한 데이터를 저장합니다.
• 함수가 끝난 후에도 스택에 있던 파라미터는 사라지지 않고 남아있습니다. 다만, 다음 번에 스택에 새로운 값이 저장될 때 덮어쓰여서 사라지게 됩니다. 이는 스택이 LIFO(Last In, First Out) 방식으로 동작하기 때문입니다.
• 함수 호출 시 ESP(Extended Stack Pointer)는 함수 호출 전의 위치로 복원되어야 합니다. ESP는 스택의 최상단을 가리키는 포인터로, 함수가 끝나면 함수 호출 전에 있던 위치로 돌아와야 정상적으로 스택을 계속 사용할 수 있습니다.
• 만약 ESP가 복원되지 않으면 스택 메모리가 꼬이게 되어 더 이상 스택을 사용할 수 없게 됩니다.
• 함수 호출 규약은 함수 호출 시 어떻게 파라미터를 전달하고, ESP를 복원할 지를 정의하는 규칙입니다. 이 규칙에 따라 스택의 관리 방식이 달라집니다.

---

cdecl

: 함수를 호출한 caller인 main함수가 자신이 스택에 입력한 함수 파라미터를 직접 정리하는 방식

stdcall

: 호출된 callee인 add함수가 함수 내부에서 스택을 정리하는 방식(cdecl에 비해 코드 크기가 작아짐)

 

fastcall

: 기본적으로 동일하나, 함수에 전달하는 파라미터의 일부(2개까지)를 스택메모리가 아닌 레지스터로 전달함

(어떤 함수의 파라미터가 4개일 경우, 앞 두 개는 각각 ECX, EDX 파라미터로 전달함)

 

thiscall

: 매개변수를 스택으로 저장하고, this 포인터를 사용해 그것들을 연결하는 방식

this 포인터는 ecx에 저장됨. 나머지 규칙은 stdcall과 동일함