리버스 엔지니어링: 어셈블리 (레지스터, 옵코드)

까막눈이다.シ

지금부터 보안 관련 동아리 활동 및 책을 통해 배운 리버스 엔지니어링 공부 내용을 기록하고자 한다.

오늘은 리버스 엔지니어링에 필요한 어셈블리 관련 지식을 정리했다.

'강병탁, 『리버스 엔지니어링 바이블: 코드 재창조의 미학』, 위키북스, 2014, 1p-127p.'을 참고했다.

내용은 어셈블리 언어 구조, 레지스터, 옵코드, 스택 사용 시 코드 순서이다.

 

어셈블리의 언어 구조

 

어셈블리는 한 번에 한 가지 동작밖에 하지 못한다

주로 사용하는 어셈블리인 IA-32의 기본 형태는 아래와 같다.

"명령어(옵코드, opcode) + 인자(오퍼랜드,operand)"

오퍼랜드가 두 개일 때 앞의 오퍼랜드를 destination(des), 뒤의 오퍼랜드를 source(src)로 부른다.

 

 

레지스터

 

레지스터란 데이터를 일시적으로 저장하는 기억장치이다.

복잡하다면 어셈블리에서는 레지스터를 CPU가 사용하는 '변수'로 생각하면 이해가 쉽다.

레지스터에는 범용 레지스터, 세그먼트 레지스터, 플래그 레지스터가 있다.

 

 1. 범용 레지스터

 

범용 레지스터란 작은 데이터의 임시 공간이다.

EAX부터 EDX까지는 주로 연산을 처리한다. 그 외에도 데이터의 주소를 지정하며, 컴퓨터 장치를 제어하는 역할을 한다.

범용 레지스터에는 여러 종류가 있지만 아래 8개가 자주 등장한다. 

 

범용 레지스터 이름(인자)	역할
EAX	A: Accumulator, 산술값 계산, 리턴값 전달 (가장 많이 쓰는 변수)
EBX	여분의 레지스터, 공간이 필요하거 EAX, EDX, ECX가 부족할 때 사용
ECX	C: Count, 루프문을 수행할 때 카운팅 하는 역할
EDX	D: Data, EAX와 역할은 같되, 리턴 값의 용도로는 사용되지 않음. 각종 연산에 쓰임
ESI	Source Index (시작지 인덱스) 문자열이나 각종 반복 데이터를 처리 또는 메모리를 옮기는 데 사용
EDI	Destination Index (목적지 인덱스) ESI에서 메모리를 읽어 EDI로 복사한다고 생각하면 간단
EBP	Base Pointer (베이스 포인터) 스택프레임의 시작 주소가 저장됨, 스택프레임 동안 값이 변하지 않음
ESP	Stack Pointer (스택 포인터) 스택프레임의 끝 지점 주소가 저장됨, 스택프레임 동안 값이 변함

 

* 경우에 따라 al, ah 레지스터가 보이는데 16비트 레지스터로 크기가 반 정도 작아졌다 생각하면 쉽다.

예를 들어 EAX에 0x78563412라는 변수가 담겨 있을 때, mov ah, byte ptr ds:[esi]가 실행되면

ah에 해당하는 위치인 34가 ESI에 담긴 값인 83으로 변경된다. 아래 그림을 참고하길 바란다.

 

RAX는 64비트, EAX는 32비트(4바이트), AX는 16비트(2바이트), AH, AL은 8비트(1바이트)

 

*EBP와 ESP에 대한 자세한 내용은 다음에 정리할 함수 구조 파트에서 자세하게 다루겠다.

 

2. 세그먼트 레지스터

 

세크먼트 레지스터는 저장공간(메모리)의 영역에 대한 주소를 지정한다.

 

세그먼트 레지스터 이름(인자)	역할
CS	코드 세그먼트 시작 주소
DS	데이터 세그먼트 시작 주소
SS	스택 세그먼트 시작 주소
ES	추가로 사용된 데이터 세그먼트 시작 주소
FS, GS	여분 레지스터

 

3. 플래그 레지스터

 

플래그 레지스터는 산술 연산 결과의 상태를 알려주는 플래그 비트를 저장한다. 분기를 정할 때 주로 사용된다.

 

플래그 레지스터 이름(인자)	역할
ZF	제로 플래그. 연산 결과가 0일 경우 참.
CF	캐리 플래그. 부호 없는 숫자의 연산 결과가 비트 범위를 넘어섰을 경우 참.
AF	보조 캐리 플래그. 연산 결과 하위 4bit에서 비트 범위를 넘어섰을 경우 참.
OF	오버플로우 플래그. 부호 있는 숫자의 연산 결과가 비트 범위를 넘어섰을 경우 참.
SF	사인 플래그. 연산 결과가 음수일 경우 참.
PF	패리티 플래그. 연산 결과에서 1로 된 비트의 수가 짝수일 경우 참.
DF	디렉션 플래그. 문자열 조작에서 참일 경우 주소 주소 레지스터 값이 감소, 거짓일 경우 증가.
TF	트랩 플래그. 참일 경우 한 명령이 실행될 때마다 인터럽트 발생. 디버깅에 사용.

 

---

옵코드

 

앞서 어셈블리의 기본 구조가 '명령어(옵코드, opcode) + 인자(오퍼랜드, operand)'로 이루어졌다고 했다.

여기서 옵코드 즉 명령어는 그 종류가 아주 많다. 모든 옵코드를 다 외울 수는 없다.

아래 자주 쓰이는 옵코드만 머리에 넣어두고 나머지는 그때그때 찾아보며 공부하자.

 

• PUSH, POP: PUSH는 스택에 값을 넣는 것, POP은 스택에 있는 값을 가져오는 것이다.

* 스택은 자란다. 즉, 높은 주소에서 낮은 주소로 커진다.( LIFO:Last In First Out) 따라서 POP의 경우 스택에서 값을 가져온다는 것은 가장 최근의 데이터를 빼낸다는 것이다.

 

• MOV, LEA:  MOV는 앞의 인자에 뒤의 인자 값을 넣는 것, LEA는 주소를 가져오는 옵코드이다. 

* 예를 들어 MOV eax, 1이면 eax에 1을 넣는 코드이다. LEA는 MOV와 헷갈릴 수 있는데 주소를 가져오는, 즉 참조하는 것이 LEA이다.

 

• ADD,SUB: 설명이 필요 없는 듯하다. 더하고 ADD는 더하는 옵코드, SUB는 빼는 옵코드이다.

 

• INT: 인터럽트를 일으키는 명령어이다. INT라는 옵코드 뒤에 오퍼랜드로 어떤 것이 오느냐에 따라 다르게 처리된다.

 

• CALL: 함수를 호출하는 명령어이다, 오퍼랜드로 함수 호출에 필요한 번지가 붙는다.

 

• INC, DEC: C언어에서 각각 i++, i--을 뜻한다. 각각 인자를 1씩 증가하고 1씩 감소하는 옵코드이다. 

 

• AND, OR, XOR: des(앞의 인자)와 src(뒤의 인자)를 각각 AND, OR, XOR 연산한다.

* des와 src를 동일한 오퍼랜드로 둘 수도 있다. 예를 들어 XOR EAX, EAX를 수행하면 EAX가 0이  된다.

 

• NOP: 아무것도 하지 말라는 명령어이다. 보안 및 해킹에 자주 쓰인다.

 

아래 옵코드들은 모두 플래그 레지스터의 값을 변화시키는 옵코드이다.

즉 분기문에서 주로 쓰이는 옵코드들이다.

 

• CMP, TEST, JMP: 비교해서 점프하는 명령어들이다.

 * CMP는 des와 src 빼서 비교, TEST는 AND 연산으로 비교,  JMP는 뒤에 오퍼랜드 주소로 조건 없이 이동한다.

 

• JE, JNE: JE는 ZF가 0이면 특정주소로, 1이면 또 다른 특정 주소로 점프한다(분기), JNE는 JE와 반대이다.

 

• JA, JB: 각각 오퍼랜드 1이 더 클 때 점프, 오퍼랜드 2가 더 클 때 점프하는 옵코드이다.

 

• JAE, JBE: 각각 오퍼랜드 1이 더 크거나 같을 때 점프, 오퍼랜드 2가 더 크거나 같을 때 점프 (빼서 연산결과가 양수일 때)

 

 

4. 스택 사용 시 보이는 코드

 

스택을 사용할 때 어셈블리에서는 어떤 코드가 나타나는지에 대한 내용이다.

다음 정리 내용인 함수 호출에서 더 자세히 다루겠지만 옵코드와 레지스터 복습 차원에서 정리했다.

아래는 어셈블리 코드로 바뀔 C언어 코드이다.

 

int Plus(int a, int b)
{
	return a+b;
}

 

아래는 위에 작성한 코드에서 더하는 연산을 하는 데 필요한 어셈블리 코드이다.

자세한 설명은 주석을 참고하길 바란다.

 

mov eax, dword ptr ss:[esp+8] // STACK 영역에 esp+8 주소에 접근하여 4바이트 만큼의 데이터를 eax에 저장한다는 의미
mov ecx, dword ptr ss:[esp+8] // 위의 파라미터 b를 저장했듯 파라미터 a 저장
add eax, ecx 메모리끼리는 연산할 수 없으므로 레지스터에 값을 담아 add 연산, 연산값은 eax에 저장
retn

 

아래는 위에 작성한 코드에서 함수를 호출할 때 필요한 STACK 영역을 확보하기 위한 어셈블리 코드이다.

마찬가지로 자세한 설명은 주석을 참고하길 바란다.

 

push ebp //ebp 레지스터를 스택에 넣음
mov ebp, esp //현재 esp 값을 ebp에 넣음
sub esp, 50h //50h만큼을 esp에서 뺌, 50만큼의 지역변수를 사용하겠다는 의미
(스택은 아래로 자라므로 값을 뺀다는 것은 곧 그만큼 스택을 사용한다는 뜻)

 

위의 주석 내용에 더하여 설명하면,

우선 ebp가 스택의 맨 위에서 스택의 시작 주소를 받고 esp를 통해 사이즈를 빼가며 자리를 확보한다.

4바이트로 움직이는 변수일 때 ebp-4이면 첫 번째 지역변수, ebp-8이면 두 번째 지역변수의 공간이 된다.

 

아래는 공부하면서 추가로 궁금할 수 있는 부분을 정리했다.

 

*리틀 엔디언: 빅 엔디언과 반대로 오른쪽부터 바이트를 저장하는 순서를 나타낸다. 예를 들어 0x12345678이라는 DWORD 값이면 78 56 34 12로 읽게 된다.

*DWORD word는 2바이트, dword는 4바이트, qword는 8바이트