공부기록장

[리버싱 핵심원리] ch13. PE File Format

po3nyo — Sun, 8 Jan 2023 23:26:49 +0900

1. PE File 소개

PE(Portable Excutable) 파일은 Windows 운영체제에서 사용되는 실행 파일 형식이다. 기존 UNIX에서 사용되는 COFF(Commeon Object File Format)를 기반으로 Microsoft에서 만들었다.

● 분류

32비트 형태의 실행 파일 : PE (또는 PE32)
64비트 형태의 실행 팡리 : PE+ ( 또는 PE32+)

2. PE File Format

● 종류

종류	주요 확장자
실행계열	EXE,SCR
라이브러리 계열	DLL, OCX, CPL, DRV
드라이브 계열	SYS, VXD
오브젝트 파일 계열	OBJ

2. PE File 기본 구조

PE File 기본구조

각 실행파일에는 UNIX 시스템에서 사용되는 실행파일, 개체 코드 및 공유 라이브러리 컴퓨터 파일의 형식인 COFF(Common Object File Format)라는 공통 형식이 있다. 그리고 PE(Portable Executable)형식은 현재 WIndows 운영체제의 32비트 및 64비트 버전에서 실행파일, 개체코드, DLL, FON 글꼴 파일 및 코어 덤프에 사용할 수 있는 COFF 방식중 하나이다.

그리고 Linux의 ELF(Excutable Link File) 형식이 있다.

PE(Portable Excutable) 파일형식은 WIndows OS 로더에 래핑된 실팽코드를 관리하는데 필요한 정보를 알려주는 데이터 구조이다. 여기에는 연결, API 내보내기, 테이블 가져오기, 리소스 관리 데이터 및 TLS 데이터에 대한 동적 라이버르리 참조가 포함된다.

디스크의 데이터 구조는 메모리에서 사용되는 데이터 구조와 동일하며 PE 파일에서 무언가를 찾는 방법을 알고 있다면 파일이 메모리에 로드된 후 거의 확실하게 정확한 정보를 찾을 수 있다.

PE 파일은 단일 메모리 매핑 파일로 메모리에 매핑되지 않는 다는 점에 유의해야한다. 대신 WIn32 로더는 PE 파일을 보고 매핑할 부분을 결정한다.

메모리의 모듈은 프로세스에 필요한 실팽 파일의 모든 코드, 데이터 및 리소스를 나타낸다. PE파일의 다른 부분은 읽을 수 있지만 매핑할 수는 없다. 예를 들어 디버그 정보가 파일 끝에 배치되는 경우와 같이 일부 부분은 전혀 매핑되지 않을 수 있다.

PE 헤더의 필드는 실행파일을 메모리에 매핑하기 위해 따로 설정해야 하는 메모리 양의 시스템에 알려준다. 매핑되지 않는 데이터는 매핑될 부분을 지나서 파일 끝에 배치된다.

PE 데이터 구조에는 DOS Header, DOS Stub, PE File Header, Image Optional Header, Section Table, Data Dictionaries, and Sections.이 포함된다.

HxD 로 메모장(notepad.exe) 을 열어 자세히 살펴보자

(윈도우에 기본제공 되는 notepad.exe를 열어도 되지만 실습과 똑같은 값을 얻고 싶다면 예제파일안의 notepad.exe.를 이용하자)

2.1 DOS Header

DOS Header

DOS 헤더는 파일의 처음 64바이트를 차지한다. 위의 이미지와 같이 HxD로 프로그램을 열었을때 처음 4개 행이다. 파일의 시작부분에 언급되는 ASCII 문자열 "MZ"를 볼수 있는데 이 MZ 는 5Ah 4Dh로 읽히는 DOS 헤더의 처음 두바이트(16진수 : 4D5A 또는 0x54AD)를 차지한다.

MZ는 MS-DOS 개발자 중 한명인 Mark Zbikowski의 이니셜이다. 이필드는 e_magic 또는 매직넘버라고 하며 MS-DOS 호환파일 유형을 식별하는 필수 필드이다. 모든 MS-DOS 호환 실행파일은 이 값을 0x5A4D( ASCII의 "MZ")로 설정한다.

마지막 필드인 e_lfanew는 4바이트 오프셋 (F0 00 00 00) 이며 PE File 헤더(NT Header)가 있는 위치를 알려준다.

2.2 DOS Stub Program

Dos Stub Program

스텁은 애플리케이션 실행이 시작될 때 기본적으로 실행되는 작은 프로그램 또는 코드 조각이다. 프로그램이 Windows 와 호환되지 않을 때 "This program cannot be run in DOS mode" 라는 메시지를 출력한다.

따라서 Win32를 지원하지 않는 환경에서 Win32 기반 프로그램을 실행하면 오류 메시지가 표시된다.

이경우 실행 파일이 로드될 때 real-mode stub 프로그램이 MS-DOS에 의해 실행된다. Windows 로더가 PE 파일을 메모리에 매핑할 때 매핑되는 파일의 첫 번째 바이트는 MS-DOS 스텁의 첫 번째 바이트에 해당한다.

2.3 PE File Header ( NT Header)

PE Header는 MS-DOS 헤더의 e_lfanew 필드를 보면 찾을수 있다. e_lfanew 필드는 PE 헤더 위치의 오프셋을 제공한다. 필드 e_lefanew는 새 .exe 헤더의 파일 헤더를 나타낸다( NT Header) 기본 PE 헤더는 IMAGE_NT_HEADERS 유형의 구조이며 주로 SIGNATURE, IGMAGE_FILE_HEADER 및 IMAGE_OPTIONALHEADER 를 포함한다.

SIGNATURE : 4바이트 Dword Signature 이다. 아래 사진의 경우 PE 헤더에 대한 오프셋 세트는 000000E0이고 PE Signature는 50 45 00 00 에서 시작한다. (문자 PE 뒤에 두 개의 종료 00 이 있음)

IMAGE_FILE_HEADER : 파일 헤더는 PE 파일의 다음 20바이트이며 파일 레이아웃에 대한 가장 기본적인 정보만 포함한다.

위 그림에서 드래그한 부분은 이식 가능한 실행파일의 헤더를 나타낸다.

※ IMAGE_FILE_HEADER 필드 참고

IMAGE_FILE_HEADER

IMAGE_OPTIONAL_HEADER : IMAGE_FILE_HEADER 데이터 구조에 포함된 기본 정보 이외의 몇 가지 중요한 정보가 포함되어 있다.

Magic : Magic 필드는 실행 가능한 이미지가 32비트인지 64비트인제 알려준다. Magic 필드에 설정된 값은 IMAGE_NT_OPTIONAL_HDR_MAGIC 이며, 그 값은 32비트 어플리케이션에서는 IMAGE_NT_OPTIONAL_HDR32_MAGIC(0x10b) 이며, 64비트 어플리케이션에서는 IMAGE_NT_OPTIONAL_HDR64_MAGIC(0x20b)로 정의된다.
AddressOfEntryPoint : Windows 로더가 실행을 시작할 주소이다. 모듈의 진입점(EP)의 RVA(상대 가상주소)를 보유하며 일반적으로 .text 섹션에서 찾을 수 있다. 실행파일의 경우 시작 주소이다. 장치 드라이버의 경우 초기화된 함수의 주소이다. 진입점 함수는 DLL에 대해 선택 사항이며 진입점이 없으면 이 멤버는 0이다.
BaseOfCode 및 BaseOfData 멤버는 각각 코드 및 데이터 섹션 시작부분의 RVA를 보유한다.
ImageBase : 실행파일이 메모리의 특정 위치에 메모리 매핑될 주소이다. Windows NT 에서 실팽하일의 기본 이미지 기반은 0x10000 이고 DLL 경우 기본 이미지는 0x400000이다. Windows 95의 경우 주소 0x10000은 모든 프로세스가 공유하는 선형 주소 영역에 있기 때문에 32비트 EXE를 로드하는 데 사용할 수 없다. 이 때문에 Microsoft는 Win32 실행 파일의 기본 기본 주소를 0x400000으로 변경하기로 결정, 따라서 기본적으로 응용 프로그램의 경우 0x400000이고 DLL의 경우 0x10000000이다.
SectionAlignment 및 FileAlignment: 두 멤버는 각각 메모리와 파일에서 PE 섹현의 정렬을 나타낸다. 실행파일이 메모리에 매핑되면 해당 실행 파일의 각 섹션은 이 값의 배수인 가상 주소에서 시작한다.
SizeOfImage : SizeOfImage 멤버는 런타임에 PE 파일이 차지하는 메모리 크기를 나타낸다. SectionAlignment 값의 배수여야 한다.
Subsystem : 이 필드는 실행 파일의 대상 하위 시스템, 즉 실행 파일이 사용자 인터페이스에 사용하는 하위 시스템 유형을 식별한다. 가능한 각 하위 시스템 값은 WINNT.H 파일에 정의 되어 있다.

마지막으로 IMAGE_OPTIONAL_HEADER 구조의 끝에서 다음은 소위 IMAGE_DATA_DIRECTORY 구조의 Data Directory 배열 이다. Data Directory 멤버는IMAGE_DATA_DIRECOTRY 구조의 첫번째를 가리킨다.

IMAGE_DATA_DIRECTORY : Data Directory 필드는 파일에서 실행 가능한 정보의 다른 중요한 구성요소를 찾을 위치를 나타낸다. 이 필드의 구조는 선택적 헤더 구조의 맨 아래에 있다. 현재 PE 파일 형식은 16개의 가능한 데이터 구조를 정의하며 그 중 11개가 사용된다.

다음은 일부 데이터 디렉토리 이다.

// Directory Entries

 // Export Directory
 define IMAGE_DIRECTORY_ENTRY_EXPORT         0
 // Import Directory
 define IMAGE_DIRECTORY_ENTRY_IMPORT         1
 // Resource Directory
 define IMAGE_DIRECTORY_ENTRY_RESOURCE       2
 // Exception Directory
 define IMAGE_DIRECTORY_ENTRY_EXCEPTION      3
 // Security Directory
 define IMAGE_DIRECTORY_ENTRY_SECURITY       4
 // Base Relocation Table
 define IMAGE_DIRECTORY_ENTRY_BASERELOC      5
 // Debug Directory
 define IMAGE_DIRECTORY_ENTRY_DEBUG          6
 // Description String
 define IMAGE_DIRECTORY_ENTRY_COPYRIGHT      7
 // Machine Value (MIPS GP)
 define IMAGE_DIRECTORY_ENTRY_GLOBALPTR      8
 // TLS Directory
 define IMAGE_DIRECTORY_ENTRY_TLS            9
 // Load Configuration Directory
 define IMAGE_DIRECTORY_ENTRY_LOAD_CONFIG    10

각 데이터 디렉토리 항목은 디렉토리의 크기와 상대 가상주소를 지정한다. 특정 디렉터리를 찾으려면 먼저 선택적 헤더의 데이터 디렉터리 배열에서 상대 가상주소를 결정해야한다. 그 다음 가상 주소를 사용하여 디렉토리가 있는 세션을 결정해야 한다.

디렉토리가 포함된 섹션을 식별하면 해당 섹션의 섹션 헤더를 사용하여 데이터 디렉토리의 정확한 파일 오프셋 위치를 찾는다.

3. 섹션 헤더 테이블

섹션 헤더 테이블은 IMAGE_SECTION_HEADER 구조의 배열이며 실행 파일의 이미지에서 사용할 수 있는 다양한 섹션과 관련된 정보를 포함한다. 이미지의 섹션은 사전순이 아닌 RVA를 기준으로 정렬된다.

섹션 헤더 테이블에는 다음과 같은 중요한 필드가 포함되어 있다.

SizeOfRawData : 파일에서 섹션의 실제 크기를 지정한다. 이값을 PointerToRawData 값과 합하면 자체의 크기가 된다.
VirtualSize : 메모리에 있는 섹션의 크기를 나타낸다.
PointerToRawData : 파일에서 RawData 섹션이 시작되는 오프셋이다. 따라서 위의 값에 이것을 추가하고 파을 정렬 속성이 기본값으로 설정되어 있다면 파일에서 다음 섹션이 시작되는 위치의 오프셋을 얻을 수 있다.
VirtualAddress : 메모리 섹션의 RVA 이다. VirtualAddress 및 VirtualSize 정보를 사용하며 메모리 정렬 속성이 기본값으로 설정되어 있다면 다음 섹션의 RVA를 얻을 수 있다.
characteristics : 플래그(R, RW, RWE 등)로 표시된 메모리의 해당 섹션에 대한 메모리 액세스 권한에 대해 알려준다. 이러한 플래그는 섹션이 실행가능, 읽기가능, 쓰기가능 또는 이들의 일부 조합인지 여부를 설명한다.

4. 섹션

PE 파일 섹션 헤더는 또한 Name 이라는 간단한 문자 배열 필드를 사용하여 섹션 이름을 지정한다. 다음은 실행파일에서 사용할 수 있는 다양한 공통 섹션 이름이다.

.text : 일반적으로 첫 번째 섹션이며 응용 프로그램의 실행 코드를 포함한다. 이 섹션 안에는 애플리케이션의 진입점 ( 실행될 첫 번째 애플리케이션 명령의 주소)가 존재한다. 애플리케이션은 실행코드가 포함된 섹션을 두개이상 가질 수 있다.
.data : 문자열과 같은 애플리케이션의 초기화된 데이터가 포함된다.
.rdata 또는 .idata : 이름가져오기 테이블이 있는 섹션에 사용된다.
.reloc : 재배치 정보를 포함한다.
.rsrc : 애플리케이션의 UI에서 사용되는 이미지와 같은 항목을 포함하는 리소스 컨테이너 섹션이다.
.debug : 디버그 정보를 포함한다.

이러한 섹션의 이름은 사용자에 의해 수정이 가능하며 배열의 길이가 8바이트에 불과하기 때문에 PE 섹션 이름은 8자로 제한된다. 최대 길이는 ASCII 문자 8자이며 각 섹션에는 고유한 특성(메모리에 대한 엑세스 권한)이 있다.

[리버싱 핵심원리] ch.10 함수 호출 규약

po3nyo — Tue, 3 Jan 2023 17:14:19 +0900

1. 함수 호출 규약(Calling Convention)

함수 호출 후에 ESP(스택 포인터)를 어떻게 정리하는에 대한 약속

● 함수를 호출할 때 파라미터를 어떻게 처리할까?

함수 실행 전 : 스택을 통하여 파라미터를 전달
함수 실행 후 : 사용한 스택 정리
→ 스택에 저장된 파라미터는 삭제되지 않는다
→ ESP 값을 수정하여 저장된 파라미터가 더 이상 유효한 데이터가 아님을 명시적으로 기록해둔다.

● 함수 실행 후, 누가 어떻게 스택을 정리할까?

함수 호출 규약 : cdelcl, stdcall, fastcall

1.1 cdecl

주로 C언어에서 사용되는 방식
Caller (함수를 호출한 쪽)에서 스택을 정리한다.

cdecl 예제 코드

cdecl 방식의 예제 코드이다. 컴파일후 x64dbg로 열어보면

add() 함수의 파라미터 1,2 를 역순으로 스택에 저장하고

add()함수 <401000> 을 호출한후

add esp, 8 명열으로 스택을 정리하고있다.

※ cdecl 방식의 장점은 C 언어의 printf() 함수와 같이 가변 길이 파라미터를 전달할 수 있다는것이다.

하지만 이러한 가변 길이 파라미터는 다른 호출 규약에서는 구현이 어렵다.

1.2 stdcall

win32 API 에서 사용
Callee (피호출자, 호출되는함수) 에서 스택을 정리한다.
C언어는 기본적으로 cdecl 방식이지만, _stdcall 키워드를 사용하여 컴파일 하면 된다.

stdcall 예제 코드

stdcall 방식의 예제코드이다 컴파일후 x64dbg 로 열어보면

위의 사진과 같이 스택의 정리는

add() 함수의 마지막 RETN 8 명령에서 수행된다.

여기서 RETN 8 명령어는 RETN + POP8바이트 를 의미한다.

즉 리턴 후 지정도니 크기만큼 ESP를 증가시키는 것이다.

※ stdcall 방식의 장점은 호출되는 함수 내부에 스택정리 코드가 존재하므로,

호출 때마다 스택을 정리하기 위한 코드를 Caller에 추가할 필요가 없어

전체 코드 크기를 줄일 수 있다

1.3 fastcall

기본적 stdcall 방식
함수에 전달하는 파라미터 일부(2개까지)를 스택 메모리가 아닌 레지스터(ECX, EDX)를 이용하여 전달한다.
함수 호출 시, 보다 빠른 처리가 가능하다.

[리버싱 핵심원리] ch08. abex' crackme2

po3nyo — Fri, 30 Dec 2022 17:21:26 +0900

1. 프로그램 확인

VB(Visual Basic) 으로 작성된 프로그램이다.
시리얼 키(serial key)를 검증하는 프로그램이다.

abex' crackme2 실행시

이름과 시리얼번호가 틀렸을때

2. VB(Visual Basic) 파일의 특징

2.1 Visual Basic (VB) 전용 엔진

VB 파일은 MSVBVM60.dll (Microsoft Visual Basic Virtual Machine 6.0) 이 라는 VB 전용 엔진을 사용한다.

→ 메시지 박스를 출력하고 싶을때 VB 소스코드에서 MsgBox() 함수를 사용한다.

→ VB 컴파일러는 실제로 MSVBVM60.dll!rtcMsgBox() 함수가 호출되도록 만들고,

→ 이 함수 내부에서 Win32 API인 user32.dll!messageBoxW() 함수를 호출해주는 방식으로 동작한다.

2.2 N (Native) code vs. P (Pseudo) code

VB 파일은 컴파일 옵션에 따라 N(Native) code와 P(Pseudo) code로 컴파일 된다.
N (Native) code : 디버거에서 해석이 가능한 IA-32 Instruciton을 사용
P (Pseudo) code : VB 엔진으로 가상 머신을 구현하여 자체적으로 해석 가능한 명령어 코드를 사용
=> Interpreter 언어 개념으로 P code를 해석하려면 VB 엔진을 분석하여 에뮬레이터를 구현해야한다.

2.3 Event Handler

VB 는 주로 GUI 프로그래밍을 할 때 사용한다.
Windows 운영체제의 Event Driven 방식으로 동작한다.
=> main() 혹은 WinMain() 에 사용자 코드가 존재하는 것이 아니라, 각 event handler 에 사용자 코드가 존재한다.

2.4 undocumented 구조체

VB에서 사용되는 각종 정보들 (Dialog, Control, Form, Module, Function등)은 내부적으로 구조체 형식으로 파일에 저장됨
Microsoft에서는 구조체 정보는 비공개 → VB 파일의 디버깅이 어려움

3. 디버깅

[리버싱 핵심원리] ch07. 스택 프레임

po3nyo — Wed, 28 Dec 2022 21:41:45 +0900

1. 스택 프레임

스택 프레임이란 쉽게 말해서 ESP (스택 포인터) 가 아닌 EBP (베이스 포인터) 를 사용하여 스택 내의 로컬 변수, 파라미터, 복귀 주소에 접근하는 기법을 말한다.
스택 프레임을 이용해서 함수 호출을 관리하면, 아무리 함수 호출 depth가 깊고 복잡해져도 스택을 완벽하게 관리할 수 있다.

1.1 ESP vs. EBP

● ESP

ESP : 스택에 저장된 데이터의 최하위 주소값 (FILO)
최근에 스택에 저장된 데이터의 주소값
PUSH or POP 명령에 의해서 가변적, 따라서 특정 데이터가 저장된 주소 값을 알기가 어렵다.

● EBP

EBP : 함수에서 사용될 그택의 기준 주소 값
함수가 호출된 후, 종료될 때까지 변경되지 않는 주소 값
함수에서 스택에 저장된 데이터들의 주소값을 알려고 할 때 유용

1.2 스택 프레임 구조

2. stackframe.exe 실습

2.1 stackframe.cpp 소스코드

//stackframe.cpp
#include "stdio.h"

long add(long a, long b)
{
    long x = a, y = b;
    return (x + y);
}

int main(int argc, char* argv[])
{
    long a = 1, b = 2;
    
    printf("%d\n", add(a, b));

    return 0;
}

2.2 stackframe.exe 디버깅

x32dbg로 stackframe.exe 파일을 열고 [Ctrl + G] 명령어로

401000 주소로 이동하자

(옆에 주석은 이해를 돕기 위해 부가설명을 추가해놓았다.)

코드 흐름 순서에 맞게 main() 함수부터 살펴보자

main()함수 <401020> 에 BP[F2]를 설치한후 [F9]를 눌러 실행해보자

● main() 함수 시작 & 스택 프레임 생성

stackframe.cpp 에서 아래 코드 부분에 해당되는 내용이다.

int main(int argc, char* argv[])
{

main() 함수 시작시 스택의 상태이다.

현재 ESP = 19FF2C이고, EBP = 19FF70 이다.

여기서 ESP <19FF2C>에 저장된 값 401250은 main()함수 실행이 끝난후 돌아갈 리턴주소이다.

main() 함수는 시작하자마자 스택 프레임을 생성 시킨다.

push ebp = EBP 값을 스택에 집어넣는다

→ main() 함수에서 EBP가 베이스 포인터의 역할을 하게 되므로

EBP가 이전에 가지고 있던 값을 스택에 백업해두기 위한 용도이다.

함수 가 종료(리턴)되기 전에 이값을 회복시켜준다.

mov ebp, esp = ESP 값을 EBP로 옮긴다.

→이 명령 이후 EBP는 현재 ESP와 같은 값을 가지게 되며,

main()함수가 끝날 때까지 EBP 값을 고정된다.

401020과 401021 주소의 두명령어에 의해 main()함수에 대한 스택 프레임이 생성되었다.

<401021>까지 실행했을때

현재 EBP 값은 19FF28로 ESP 와 동일하며,

19FF28 주소에는 19FF70 = [main()함수 시작할 떄 EBP가 가지고 있던 초기값]이 저장된걸 알 수 있다.

● 로컬 변수 세팅

stackframe.cpp 에서 아래 코드부분에 해당되는 내용이다.

long a = 1, b = 2;

sub esp, 8 = ESP값에서 8을뺀다

→ 로컬 변수 'a'와 'b'가 long 타입이므로 각각 4바이트 크기를 가지는데,

이 두 변수를 스택에 저장하기 위해서는 총 8바이트가 필요하기때문에

ESP 에서 8바이트를 빼서 두 변수에 필요한 메모리 공간을 확보한 것이다.

EBP 값은 main() 함수 내에서 고정이므로 이를 기준으로 삼아 로컬 변수에 접근할 수 있다.

mov dword ptr ss:[ebp-4], 1 = [EBP-4] 에 1을 넣는다

mov dword ptr ss:[ebp-8], 2 = [EBP-8] 에 2을 넣는다

<40102D>까지 실행했을때 스택 상태

ESP 의 값이 8 줄어들었고,

mov 명령어에 의해 19FF24 = [EBP-4] 에 1이, 19FF20 = [EBP-8] 에 2가 저장되었다.

● add() 함수 파라미터 입력 및 add() 함수 호출

stackframe.cpp 에서 아래 코드 부분에 해당되는 내용이다.

printf("%d\n", add(a, b));

mov eax, dword ptr ss:[ebp-8] = 변수 b를 스택에 넣는다.

push eax = EAX 값을 스택에 집어넣는다

mov eax, dword ptr ss:[ebp-4] = 변수 a를 스택에 넣는다.

push ecx = ECX 값을 스택에 집어넣는다

→ add() 함수는 파라미터로 a 와 b 를 받는다.

※ 여기서 중요한점 : 파라미터가 C 언어의 입력 순서와 반대로 스택에 저장된다.

call <stackframe.sub_40100> = add() 함수 호출

<40102D>까지 실행했을때 스택 상태

EAX 에 파라미터 b 값인 2가 저장되었고,

ECX에 파라미터 a의 값인 1이 저장 되었다.

또한 add() 함수의 복귀 주소인 401041이 스택에 저장된 것을 확인할 수 있다.

● add() 함수 시작 & 스택 프레임 생성

stackframe.cpp에서 아래 코드 부분에 해당되는 내용이다.

long add(long a, long b)
{

add() 함수가 시작되면 자시만의 스택 프레임을 따로 생성한다.

※ 메인 함수와 똑같으므로 설명은 생략하겠다.

<401001>까지 실행했을때 스택 상태

원래의 EBP값(19FF28 = main()의 EBP값) 을 스택에 백업한 후,

EBP는 19FF10으로 새롭게 세팅된 것을 확인할 수 있다.

● add() 함수의 로컬 변수(x, y) 세팅

stackframe.cpp에서 아래 코드 부분에 해당되는 내용이다.

long x =a, y = b;

add() 함수의 로컬 변수 x, y 에 각각 파라미터 a, b 를 대입한다.

sub esp, 8 = ESP값에서 8을뺀다

→ 로컬 변수 x, y 에 대한 스택 메모리영역을 확보

<401006> ~ <40100F>

→ 주석 참고

<40100F>까지 실행했을때 스택 상태

● ADD 연산

stackframe.cpp에서 아래 코드 부분에 해당되는 내용이다.

return (x + y);

mov eax, dword ptr ss:[ebp-8] = 변수 x의값([ebp-8])을 EAX에 넣는다.

add eax, dword ptr ss:[ebp-4] = EAX에 변수 y의값([ebp-4])을 더한다.

※ EAX는 산술연산 및 리턴 값으로 사용된다.

위와 같이 함수가 리턴하기 직전에 EAX에 값을 입력하면 그대로 리턴값이 된다.

<401015>까지 실행했을때 스택 상태

이 연산 과정에서 스택은 변하지 않았기 때문에 직전의 스택 상태와 동일하다.

● add() 함수의 스택 프레임 해제 & 함수 종료(리턴)

stackframe.cpp에서 아래 코드 부분에 해당되는 내용이다.

return (x + y);
}

이제 add() 함수가 리턴하기위해 add() 함수의 스택 프레임을 해제해야한다.

mov esp, epb = 현재 EBP 값을 ESP에 대입

→ 앞에서 실행된 401001주소의 mov ebp, esp 에 대응하는 명령어이다.

즉 add() 함수가 시작할 때의 ESP(19FF14)값을 EBP에 넣어두었다가 함수가 종료될 때

ESP를 원래대로 복원시키는 목적으로 사용한다.

※위 명령에 의해 401003 주소의 sub esp,8 명령의 효과는 사라진다.

즉 add() 함수의 로컬 변수 x, y 는 더이상 유요하지 않다.

pop ebp = add() 함수가 시작하면서 스택에 백업한 EBP 값 복원

→ 앞에서 실행된 401000 주소의 push ebp 명령어에 대응하는 명령어이다.

복원된 EBP 값은 19FF28 이며, 이값은 main() 함수의 EBP 값이다.

이제 add() 함수의 스택 프레임은 해제 되었다.

ret = 스택에 저장된 복귀 주소로 리턴한다.

<401015>까지 실행했을때 스택 상태

add() 함수를 호출하기 전의 스택 상태로 완벽히 돌아온 것을 알 수 있다.

※ 프로그램은 이런식으로 스택을 관라하기 때문에

함수 호출이 계속 중첩되어도 스택이 깨지지 않고 잘 유지되는 것이다.

하지만 스택에 로컬 변수, 함수 파라미터, 리턴 주소 등을

한번에 보관하기 때문에

문자열 함수 취약점 등을 이용한 Stack Buffer Overflower 기법에 취약하다.

● add() 함수 파라미터 제거(스택 정리)

이제 main() 함수 코드로 돌아왔다.

add esp, 8 = ESP에 8을 더함

→ add() 함수가 완전히 종료되었기 때문에 add() 함수에 넘겨주었던

파라미터 a, b 는 더이상 필요 없기때문에

ESP 에 8을 더하여 스택을 정리하는 것이다.

<401041>까지 실행했을때 스택 상태

● printf() 함수 호출

stackfaame.cpp에서 아래 코드 부분에 해당되는 내용이다.

printf("%d\n", add(a, b));

printf() 함수의 호출 코드이다.

push eax = add() 함수에 저장된 리턴값(3)이 들어있다.

call <stackframe.sub_401067> = printf() 함수 호출

add esp, 8 = ESP에 8을 더함

→ printf() 함수의 파라미터는 2개이며 크기는 8바이트이다

따라서 40104F 주소에 add esp, 8 명령어로 스택에서 함수 파라미터를 정리하고있다.

<401041>까지 실행했을때 스택 상태

printf() 함수 호출후 스택이 정리되었기 때문에 스택언 전과 동일하다.

● 리턴 값 세팅

stackframe.cpp에서 아래 코드 부분에 해당되는 내용이다.

return 0;

main() 함수의 리턴값(0) 을 세팅한다.

xor eax, eax = Exlusive OR bit 연산 실행

→ 같은 값끼리 XOR하면 0이 되는 특징이 있다.

mov eax, 0 명령어보다 실행 속도가 빨라서 위와같이 레지스터 초기화시킬때 많이 사용된다.

● 스택 프레임 해제 & main() 함수 종료

stackframe.cpp 에서 아래 코드 부분에 해당되는 내용이다.

return 0;
}

main() 함수가 종료된다. add() 함수와 마찬가지로 리턴하기 전에 스택프레임을 해제한다.

위 두명령으로 main() 함수의 스택 프레임은 해제 되었다.

또한 main() 함수의 로컬 변수인 a, b역시 더이상 유효하지 않다.

<401056>까지 실행했을때 스택 상태

main() 함수를 시작할때의 스택 모습과 완벽히 동일하다.

[리버싱 핵심원리] ch06. abex' crackeme #1 분석

po3nyo — Wed, 28 Dec 2022 11:51:27 +0900

1. 프로그램 확인

abex' crackme1-voiees.exe ( 실습파일에는 voiees.exex 라고 되있을건데 확장자를 exe로 변경후 실습)
어셈블리 언어로 작성된코드이다. > stub code 추가되어 있지 않음

abex' crackme1-voiees.exe 실행시

확인 눌렀을때

1.1 디버깅

abex' crackme1-voiees.exe 파일을 디버거에 올렸을때 나오는 첫 화면이다.

우리의 목표는 Ok, I really think ... 라는 문구를 출력하는 것이다.

코드가 짧고 배우는 초기단계 이므로 하나씩 실행해 보며 코드를 파악해 볼 것이다.

40100E 주소의 call 함수를 실행하자 프로그램을 처음 실행했을때 뜨는 창을 만났다.

확인을 누른후 계속 실행해보자

에러 메시지 출력까지 왔다. 다음 명령어가 <401050>으로 jmp 하는거고,

<401050>주소의 함수는 프로세스를 종료시키는 함수인걸 알 수 있다.

<40103D> 주소로 가야 우리가 원하는 메시지박스를 출력할 수 있는데

어떻게 해야할까?

여기서 우리가 주목해야할 부분은 바로 여기이다.

je 는 조건분기문인데 조건이 성립하면 jmp 명령어를 실행한다.

그래서 대부분 je명령어 바로 앞쪽을 보면 cmp 명령어로 조건을 지정하는 부분이 있다.

자 이제 확인해보면

cmp 문으로 eax 값과 esi 값을 비교하고있는데 레지스트리 창을 확인해보면

값이 다른걸 알 수있다.

조건에 부합하기때문에 jmp명령어가 실행되지않고 다음명령어로 내려가게되어

Error 메시지가 출력되는곳으로 이동하는것이다.

그럼 이제 jmp 명령어를 실행시킬 방법을 알아보자

cmp 명령어 수정

eax 값과 eax 값을 비교하게 하면 당연히 똑같은 값을 비교하는것이므로

참인 결과가 나와 jmp명령어를 실행하게 된다.

je명령어 수정

조건분기문인 je 를 그냥 분기문인 jmp 로 수정하면 조건에 상관없이

40103D 주소로 jmp 하게 된다.

ZF(Zero Flag) 값 수정

je 명령어를 실행전에 ZF(Zero Flag) 연산결과를 1(참) 로 수정하면

조건에 부합하여 40103D 주소로 jmp 하게 된다.

위 방법들을 사용해 실행하면

우리가 목표로 하는 메시지박스를 실행할 수 있다.!

[리버싱 핵심원리] ch05. 스택

po3nyo — Tue, 27 Dec 2022 14:16:19 +0900

1. 스택

- 프로세스에서 스택 메모리의 역할

함수 내의 로컬 변수 임시 저장
함수 호출 시 파라미터 전달
복귀 주소(address) 저장

- FILO (First In Last Out) 구조

1.1 스택의 특징

프로세스에서 스택 포인터(ESP)의 초기값은 Stack Botton 에 가깝다
PUSH (위) / POP (아래) 명령에 따라 스택포인터가 이동한다.
데이터는 높은 주소부터 먼저 쌓여간다.

[리버싱 핵심원리] ch04. IA-32 Register 기본 설명

po3nyo — Tue, 27 Dec 2022 13:07:36 +0900

1. CPU 레지스터란 ?

CPU 내부에 존재하는 다목적 저장 공간
CPU 내부에 존재하므로, RAM에 비해 데이터의 고속 처리가 가능하다.

2. IA - 32의 레지스터

- IA -32는 지원하는 기능도 무척 많은 만큼 레지스터의 수도 많다. 위 그림에 나온 레지스터들 외 에도 다양한 레지스터가 존재한다. 애플리케이션 디버깅의 초급단계에서는 Basic program execution register에 대해 알아 보겠다.

2.1 Basic program execution register

> Basic program execution register 은 크게 4개의 그룹으로 구성된다.

General Purpose Registers / 범용레지스터 (32비트, 8개)
Segement Registers / 세그먼트레지스터 (16비트, 6개)
Program Status and Control Registers / 프로그램 상태와 컨트롤 레지스터 (32비트, 1개)
Instruction Pointer / 명령어 포인터 (32비트, 1개)

2.1.1 General Purpose Register ( 범용 레지스터) / 32비트 8개

산술 연산(ADD, SUB, XOR, OR등) 명령어에서 상수/ 변수 값의 저장용도로 사용 (EAX, EBX, ECX, EDX)
메모리 주소를 저장하는 포인터로 사용 (EBP, ESI, EDI, ESP)

범용 레지스터

EAX : Accumulator for operands and result data → 일반적으로 함수 리턴값에 사용
EBX : Pointer to data in the DS segment → 메모리 주소 저장
ECX : Counter for String and loop operations → 반복문 명령어에서 반복 카운터로 사용
EDX : I/O Pointer → EAX와 함께 연동해서 사용하며, 큰수의 복잡한 연산과 부호 확장 명령에 사용
EBP : Pointer do data on the stack → 함수가 호출되었을때, ESP를 저장하고 있다가, 함수 리턴 직전에 ESP에 값을 되돌려줌
ESI : source pointer for string operations → 데이터를 조작하거나 복사할때 데이터의 주소저장
EDI : Destination pointer for string operations → 데이터를 복사할 때 목적지의 주소 저장
ESP : Stack Pointer → 스택 메모리 주소 push,pop 에 따라 4byte씩 값이 변함

2.1.2 Segement Register (세그먼트 레지스터) / 16비트, 6개

세그먼트라는 메모리의 한 영역에 대한 주소를 지정한다.
세그먼트 : 프로그램에 정의된 코드, 데이터등을 저장하는 특정 영역

CS(Code Segement) : 실행될 기계 명령어를 포함
SS(Stack Segement) :
DS(Data Segement) : 프로그램에서 정의된 데이터, 상수, 작업영역을 포함
ES(Extra Segement): 추가적인 데이터 세그먼트 → 메모리 주소 주정을 다루는 스트링(문자열 연산)에 사용
FS(Data Segement): 추가적인 데이터 세그먼트 → SEH,PEB 등의 주소를 계산할 때 사용
GS(Data Segement) : 추가적인 데이터 세그먼트

2.1.3 Program Status and Control Registers ( 프로그램 상태와 컨트롤 레지스터) / 32비트, 1개

EFLAGS(Flag Register) > FLAGS 레지스터의 확장형, 1(on/ true); 0(off/false)
ZF(Zero Flag) : 연산 결과값이 0이면 ZF=1로 설정
OF(Overflow Flag) : 부호 있는 수 (signed integer)의 오버플로가 발생하면 1로 설정, MSB 변경시 1로 설정
CF(Carry Flag) : 부호 없는 수 (unsinged inteager)의 오버플로가 발생하면 1로 설정

2.1.4 Instruction Pointer ( 명령어 포인터) / 32비트, 1개

CPU 가 처리할 명령의 주소를 나타낸다.
16비트 IP레지스터의 확장형태
CPU는 EIP/IP에 저장되어 있는 주소의 명령을 수행한 후, 명령어 길이만큼 EIP/IP 값을 증가시킨다.
EIP/IP 의 값을 사용자가 직접 수정할 수는 없다. → 다른 명령어를 사용하여 간접적으로 변경

[리버싱 핵심원리] ch03. 리틀 엔디언 표기법

po3nyo — Mon, 26 Dec 2022 19:51:12 +0900

1. 바이트 오더링

바이트 오더링( Byte Ordering) 이란 데이터가 저장되는 방식(순서)를 의미한다.
바이트 오더링 방식에는 크게 빅 엔디언(Big Endian) & 리틀 엔디언(Little Endian) 이 있다.

1.1 빅 엔디언(Big Endian)

빅 엔디언 방식은 데이터를 저장할 때 사람이 보는 방식과 동일하게 순차적으로 저장된다.
비교 연산시 높은 비트열을 먼저 비교하므로 유리하다.
연산속도가 리틀 엔디언 방식에 비해 느리다는 단점이 있다.

1.2 리틀 엔디언(Little Endian)

리틀 엔디언 방식은 데이터를 저장할 때 역순으로 저장된다.
낮은 비트열이 먼저 들어와서 연산이 바로 가능하다.
비교 연산을 할 때는 빅 엔디언에 비해 불리하다는 단점이 있다.

→ 위 사진과 같이 총 4개의 크기가 다른 자료형이 있을때 바이트 타입의 변수를 저장할 때는 두 방식의 차이가 없지만, 2바이트 이상의 크기를 가진 자료형을 저장할 때에는 각 엔디언의 방식에 따라 저장방식에 차이가 생긴다.

2. 디버거에서 리틀 엔디언 확인

실습파일 내 LittleEndian.exe 소스코드

//LittleEdnian.cpp

#include "windows.h"

BYTE    b       =   0x12;
WORD    w       =   0x1234;
DWORD   dw      =   0x12345678;
char    str[]   =   "abcde";

int main(int argc, char *argv[])
{
    BYTE    lb  =   b;
    WORD    lw  =   w;
    DWORD   ldw =   dw;
    char    *lstr  =   str;

    return 0;
}

디버거로 실행했을때

40AC40 주소의 Dump Window

[40AC40] 주소에 12(byte)가 12 가 저장되있고

[40AC44] 주소에 1234(word)가 [34 12] 로

[40AC48] 주소에 12345678(dword)이 [78 56 34 12] 과 같이 리틀 엔디언 방식으로 저장되 있는것을 확인할 수 있다.

[리버싱 핵심원리] ch02. Hello World! 리버싱

po3nyo — Mon, 26 Dec 2022 18:00:11 +0900

< 리버싱 핵심원리 소스코드/실습예제 파일다운 >

https://reversecore.com/104

"리버싱 핵심 원리" 소스 코드와 실습 예제 파일입니다.

(2021.07.08) github.com 에도 제 계정을 생성하여 소스코드 및 실습예제를 올렸습니다. github 에 익숙하신 분들께서는 이곳을 이용하시면 됩니다. https://github.com/reversecore/book 1. 소스 코드 (ver 1.0.2) * 암

reversecore.com

1. Hello World 프로그램

Release 모드로 HelloWorld.exe 를 만들어 보자( Release 모드로 컴파일하면 코드가 간결해져 디버깅하기 편하다)

//HelloWorld.cpp

#include "windows.h"
#include "tchar.h"

int _tmain(int argc, TCHAR *argv[])
{
	MessageBox(NULL, 
			   L"Hello World!", 
			   L"www.reversecore.com", 
			   MB_OK);
	
	return 0;
}

HelloWorld!.exe 실행화면

2. HelloWorld.exe 디버깅

2.1 Hello world 디버깅 목표

어셈블리 언어로 변환된 main() 함수 찾기
기본적인 디버거 사용법 학습
어셈블리 명령어 학습

2.2 HelloWorld.exe. 디버깅 시작

(1) Code Window

기본적으로 diassembly Code 를 표시한다.
각종 comment, label 을 보여준다.
코드를 분석하여 loop, jump, 위치등의 정보를 표시한다.

(2) Register Window

CPU Register 값을 실시간으로 표시한다.
특정 Register의 값은 수정도 가능하다.

(3) Dump Window

프로세스에서 원하는 memory 주소 위치의 값을 hex와 asscii/유니코드 값으로 표시한다.
수정가능

(4) Stack Window

ESP Register가 가리키는 프로세스 Stack Memory를 실시간으로 표시한다.
수정가능

2.3 EP (Entry Point)

엔트리 포인트(Entry Point)는 제어가 운영 체제에서 컴퓨터 프로그램으로 이동하는것을 말하며, 프로세서는 프로그램이나 EP가 코드에 진입해서 실행을 시작한다.
PE 파일을 분석해서 EP값을 알아 낼 수도 있다.

exe 파일을 디버거에 올렸을때 첫 화면

> 위 사진과 같이 Hello World.exe를 디버거로 열었을때 EP(Entry Piont)에서 멈추는걸 알수 있다.

(1) address

프로세스의 가상 메모리 (Virtual Address:VA) 내의 주소

(2) instruction

IA-32(또는 x86) CPU 명령어

(3) Disassembled Code

OP 코드를 보기 쉽게 어셈블리어로 변환한 코드

(4) Comment

디버거에서 추가한 주석 ( 옵션에 따라 약간 다르게 보임)

2. 4 40270C 함수 따라가기

> 이제 Main() 함수를 찾기위해 Step into 명령어 [F7] 를 사용해 40270C 함수 코드 내부로 들어가보자

40270C 함수 내부

함수 내부로 들어오자 새로운 코드들이 나타난다. 먼저 주석에서는 코드에서 호출되는 API 함수이름을 보여준다. 우리는 이미 Main() 함수가 어떻게 생긴지 알기때문에 이번에는 Step over 명령어 [F8] 을 사용해 함수 내부로 진입하지 않고 하나하나 실행해보자 ( Ctrl + [F9] 명령어 사용시 함수의 RET까지 빠르게 실행 할수 있다)

40270C 함수의 끝부분 (RETN)

4027A1 주소에 RETN 명령어가 있는걸 알수있다. RETN은 함수의 끝에서 사용되며 이 함수가 호출된 원래 주소 쪽으로 되돌아간다. 위 경우는 리턴주소가 4011A5이다. [F8]을 눌러 리턴주소로 이동하자

4027A1 에서 RETN 명령어 실행후 4011A5로 이동

2.5 40104F 점프문 따라가기

4011A5 주소의 JMP 40104F 명령을 실행( [F8] ) 해서 해당 주소로 가보자

jmp 40104F 실행 결과

다시 40104F 주소부터 함수 호출 명령어를 하나하나 따라가보자... 저자께서 처음엔 귀찮더라도 하나하나 다 실행보고 가라고 하셨다

2.6 Main() 함수 찾기

쭉~~ 따라가 보다 보면

401144 주소에 CALL 401000 호출하는 명령어가 있는데 Step into [F7] 로 들어가보면 MessageBoxW() API를 호출하는 코드를 확인 할 수 있다. 그 API의 파라미터가 "www.reversecore.com"과 "Hello World!" 문자열인것으로 보아 우리가 찾던 Main() 함수인걸 알 수 있다.

3. 디버거 능숙하게 다루기

3.1 디버거 명령어

명령어	단축키	설명
Step Into	F7	하나의 OP code 실행(함수 내부로 들어감)
Step Over	F8	하나의 OP code 실행(함수 내부로 안 들어감)
Restart	Ctrl+F2	다시 디버깅시작(프로세스 종료하고 재실행시킴)
Go to	Ctrl+G	원하는 주소 찾아감(코드 확인할때 사용, 실행되는 것은 아님)
Run	F9	실행(BP 걸려있으면 그 곳에서 실행 정지)
Execute till return	Ctrl+F9	함수 코드 내에서 RETN 명령까지 실행(함수 탈출 목적)
Execute till cursor	F4	cursor 위치까지 실행(디버깅 주소까지 바로 갈 수 있음)
Comment	:	Comment 추가
Edit data	Ctrl + E	데이터 편집
Assemble	Space	어셈블리 코드 작성및 수정

3.2 베이스 캠프

디버거를 재실행할 때마다 매번 EP 코드부터 새로시작 → 비효율적
코드 중간주간에 분석을 원하는 중요 포인트(주소)를 지정하여 그 포이트로 빠르게 이동하여 분석하는게 효율적 →등산에서 베이스 캠프와 같은 역할

● 베이스 캠프 설정법

Goto 명령어 사용 [Ctrl + G] 후, [F4]명령으로 커서까지 프로그램 실행
BP 설정 [F2]
주석 삽입 [ ; ]
레이블 설정 [ : ]

4. 원하는 코드 빨리 찾아내는 4가지 노하우

4.1 코드 실행 방법

디버거로 Step over [F8] 을 반복 수행하면서, 분석자가 확인할 수 있는 상황이 나타날 때까지 계속 실행한다.

4.2 문자열 검색 방법

프로그램 내에서 사용되는 "문자열"을 확인
Code Window 에서 [우측마우스] → [seacrh for] → [Current Modules] → [All Referenced text strings]

검색 하려는 문자열을 더블 클릭하거나 Goto 명령어를 사용하여 이동할 수 있다.

4.3 API 검색

사용된 API를 검색
Code Window 에서 [우측마우스] → [seacrh for] → [Current Modules] → [All intermodular calls]

원하는 API 확인후 더블클릭하거나 Goto 명령어로 이동

5. " Hello World!" 문자열 패치

5.1 패치

패치 대상 : 파일 or 메모리 / 코드 or 데이터
목표 : 메시지 박스의 " Hello World!"를 다른 문자로 변경

5.2 문자열 패치 방법 (1) - 문자열 버퍼를 직접 수정하기

덤프 창에서 Goto 명령으로 문자열 주소로 이동

마우스로 변경할 메모리 전체 선택

[Ctrl + E] 명령어를 사용해 문자열 수정

주의할점!

→ 문자열 입력시 문자열 길이에 주의해야하는데, 유니코드 문자열은 2바이트 NULL로 끝나야한다.

→ 유니코드 항목에는 NULL을 입력할 수 없으므로 HEX 항목에다 NULL을 입력한다.

실행

5.2 문자열 패치 방법 (2) - 다른 메모리 영역에 새로운 문자열을 생성하여 전달

덤프 창에서 문자열을 저장할 영역 선택( 409F50)

[Ctrl + E] 명령어로 유니코드에 문자열 저장

401007코드창에서 space 바를 누른후 PUSH 409F50 으로 수정

실행

[리버싱 핵심원리] ch01. 리버싱 스토리

po3nyo — Mon, 26 Dec 2022 11:21:39 +0900

1. 리버스 엔지니어링

Reverse Engineering, RE: 역공학
물건이나 기계장치 혹은 시스템 등의 구조, 기능, 동작등을 분석하여 원리를 이해하며 단점을 보완하고 새로운 아이디를 추가하는 일련의 작업

출처:https://news.samsungdisplay.com/21458

2. 리버스 코드 엔지니어링

Reverse Code Engineering, RCE
소프트웨어 분야의 역공학

출처:http://www.sycns.co.kr/sycns/02_business/security_se.asp

2.1 리버싱 분석방법

● 정적분석

파일의 겉모습을 관찰하여 분석하는 방법 → 파일을 실행시키지 않고 분석한다.
파일의 내용확인 : 파일의 종류, 크기 헤더(PE)정보, Import/Export API, 내부분자열, 실행 압축여부, 등록정보, 디버깅정보, 디지털인증서, etc...
디스어셈블러(Disassembler)을 이용해서 내부 코드와 구조를 확인

● 동적분석

파일을 직접 실행시킨 후 프로그램의 실행을 관찰
실행중인 프로그램 행위를 분석: 파일, 레지스트리, 네트워크 등을 관찰
디버깅을 통해 코드 흐름과 메모리 상태등으로 확인 : 프로그램 내부 구조와 동작 원리를 관찰

2.2 Source Code, Hex Code, Assembly Code

● Source Code

우리가 IDE 를 통해 작성하는 코드를 말한다.

● Hex Code

빌드를 통해 생성된 실행파일은 2진수(Binary) 형식으로 되어있는데 2진수로 되어있는 코드를 직접보고 그의미를 파악하는것은 매우 힘든 일이다. 그래서 2진수를 16진수로 바꾸어 자릴수를 줄여 변환한 코드이다.

● Assembly Code

Hex Code도 비교적 Binary Code보다 파악하긴 쉽지만 단순 숫자이기 때문에 의미를 직관적으로 알수 없어 이해하는데 어려움이 있다 그래서 사람이 더 쉽게 이해할 수 있는 Assembly code로 변환한 코드이다.

2.3 패치(Patch)와 크랙(Crack)

● 패치(Patch)

프로그램의 파일 또는 실행중인 프로세스 메모리의 내용을 변경하는 작업
프로그램의 취약점 수정과 기능 개선등이 주 목적
EX) Windows Update

● 크랙(Crack)

비합법적인 패치
EX) 상용프로그램 크랙을통한 무료사용등..