리버싱 공부
스택 프레임 기법

스택을 다루는데 있어서
ESP 레지스터, 현재 스택을 가리켜 주는 ESP레지스터를 사용하는데

함수를 만들고 사용할 때 함수를 들어가서 ESP 레지스터를 막 사용하다 보면
원래 돌아가야 할 위치를 알고 있더라도 함수의 시작 위치를 알 수 없게 되고
사용이 굉장히 복잡해진다.

그걸 방지?하기 위해 스택 프레임 기법이라는 방식이 도입되었다고 하는데.

함수를 들어갔을 때의 스택의 위치를 EBP레지스터, 베이직 포인터 레지스터가 가지고 있고, 함수에서 스택을 다룰 때 ESP를 사용 후 나중에 EBP에서 함수의 첫 주소를 가지고 있게 하며 안전하게 리턴할 수 있게 한다.


리버싱 핵심원리에 있는 예제와 비슷하게 코딩해봤다.

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
#include <stdio.h>
#include <stdio.h>
int add(int num1, int num2);
int main()
{
    int a, b;
    a = 10;
    b = 20;
    int c;
    c = add(a, b);
    printf("%d\n", c);
}
int add(int num1, int num2)
{
    int number1;
    int number2;
    number1 = num1;
    number2 = num2;
    return (number1 + number2);
}
cs
함수를 하나 만들어서 메인에서 호출하는 간단한 예제이다.
이걸 올리 디버거에서 보면,
메인이 시작되는 부분이다.

사실 메인도 함수기 때문에 스택 프레임 기법으로 작성되어 함수 프롤로그 부분이 있다.
메인부터 보자면,

메인 함수가 호출되고 나서. EBP에 원래 있던 주소는 스택에 담아서 백업해 두어야 하고,
PUSH EBP 명령어를 통해 실행하게 된다.

EBP가 가지고 있던 스택 주소를 스택에 백업해 두고, MOV EBP, ESP 명령어를 통해
현재 ESP의 주소를 EBP에 넣게 된다.

지역 변수의 크기 할당을 위해서 가지고 있는 지역 변수의 총 크기를 ESP에서 빼서
ESP를 다시 설정하고 ESP를 이용해 스택을 사용하게 된다.
(int 변수 3개 : 4byte * 3 = 0x0c)

그럼 EBP는 함수의 시작 주소를 가지고 있고, ESP는 스택을 마음대로 사용하게 된다.

그리고 추가적으로, EBP는 함수의 시작 주소를 가지고 있고, 함수가 가지고 있는 지역 변수와 함수를 호출할 때의 매개 변수 주소를 EBP의 주소에서 감가산을 해 가면서 계산하게 된다.

후에 함수의 내용이 끝나면 리턴하기 전에 ESP에 EBP의 값을 다시 집어넣어 함수의 처음 스택 주소를 가지고, 함수 호출 이전에 사용하던 EBP의 값을 다시 스택에서 POP해서 원래대로 놓고 리턴을 하게 된다.


예제 함수인 add함수를 호출할 때도 똑같이 작용한다.
함수를 호출하는 부분에서 레지스터의 값은
EBP : 006FF8C4
ESP : 006FF8B0
이다.

함수를 호출하면
add함수에도

PUSH EBP
MOV EBP, ESP
SUB ESP, X
...
...
MOV ESP, EBP
POP EBP
RETN

 의 형태를 띄고 있는걸 볼 수 있다.

댓글

댓글 쓰기

이 블로그의 인기 게시물

scanf와 scanf_s

마이크로소프트 사에서는 자주 사용하는 개발 IDE인 Visual Studio에서 scanf 사용을 권하지 않는다. 하위 버전에서는 경고를 띄우지만 최상위 버전에서는 SDL(security development lifecycle) 검사가 체킹 되어 있어 비주얼 스튜디오에서만 지원하는 scanf_s를 사용하지 않으면 오류가 뜨게 되어있다. scanf_s()는 문법은 scanf()와 다를게 거의 없다. 그러나 문자열을 입력받는 서식문자 %s를 사용할 땐, 저장할 문자열 뒤에 최대 문자열 입력 개수를 인자로 한 개 더 넣어주어야 한다. 1 2 char name[10]; scanf("%s", name); cs 이전 scanf 사용이 이랬었다면, 1 2 3 #define MAX_LEN 10 char name[MAX_LEN]; scanf_s("%s", name, MAX_LEN); cs scanf_s를 사용해야 할 때 이런 식으로 인자를 한 개 더 추가해 주어야 한다. 참고로 비주얼 스튜디오에서 scanf_s를 사용할 때 문자열 입력을 받는 때에 문자열 길이를 지정해 주지 않아도 문법 오류가 뜨지 않는데, 실행했을 때는 오류가 난다. 문법 오류가 나지 않아도 문법 오류이다. 이는 오묘한 문법때문인데,  scanf_s를 이렇게 사용할 때의 케이스가 있기 때문이다. 1 2 3 4 5 #define MAX_LEN 10 char name[MAX_LEN]; int grade; int age; scanf_s("%s %d %d", name, MAX_LEN, &grade, &age); cs 문자열을 입력 받을 ...
자세한 내용 보기

레나 리버싱 Tut.ReverseMe1 풀이 1

이미지
리버싱 핵심원리(소위 나뭇잎책)에서의 레나 리버스미 문제 풀이를 책을 따라가 보며 풀어보았다. 분석은 책에서 쓰인 올리디버거를 사용하였다. Tut.ReverseMe1 문제는 처음에 Nag Screen이라는 박스가 뜨고 확인을 누르면 다음 창이 뜬다. 이게 다음 창인데, 여기서 Regcode를 맞춰서 Register me 버튼을 누르는 비밀번호 문제인 것 같다. Nag Screen 메시지창의 뜻은 모든 Nag?를 삭제(무시)시키고 올바른 registration code를 찾아라는 뜻이다. 메인 창에서도 Nag?버튼을 누르면 다시금 Nag Screen창이 뜨게 된다. 우선 책도 그렇고 문제에서 요구하는 것도 그렇고 Nag창을 없애기 위해 Nag창 부터 찾아봐야겠다. 버튼들이 있는 윈도우 폼인것을 봤을 때 버튼을 눌렀을 때 행동하게 되는 버튼 리스너 등의 처리가 있을 것이다. Nag?버튼을 눌렀을 때 Nag메시지 창이 떴던 것을 생각하면, 어떤 메시지 박스를 띄우게 하는 함수들이 있을 것이다. Search for - All intermodular calls 에서 찾아보았다. 모듈 Tut.ReverseMe1의 함수 콜 목록에서 rtcMsgBox함수를 호출하는 곳이 4군데 보인다. 4군데 다 bp를 걸어두고 Nag? 버튼을 눌러보자 bp를 건 곳중에 한군데에서 걸렸다. 이 어셈이 있는 곳에서 Nag 메시지 박스를 띄우게 하는 내용들이 있을 것이다. 좀 위를 봐보자. Nag 메시지 창에서 보았던 문자열 내용들이 있다. 이곳이 Nag 메시지를 띄우는 곳인것을 확정할 수 있다. 좀 더 올려보면 이곳 자체도 함수로 되어있는 것을 볼 수 있다. 단순히 Nag메시지 박스를 띄우지 않게 하려면 rtcMsgBox함수를 호출하지 않게 하면 된다. 함수 호출 부분을 다시 보면, 함수 호출 이후 스택을 따로 정리하지 않는 모습을 볼 수 있다. 이를 보면 함수의 호출 규약은 stdcall방식인 것을 볼 수 있다. ...
자세한 내용 보기

리버싱 연습

이미지
c++ 클래스를 간단하게 만들었다. 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 #include   < iostream > class  Data { public :     Data();     ~Data();      int   &   operator [] ( int  n)     {          return  data;     }      void   operator =  ( int  data)     {          this - > data  =  data;     }      const   int  initialized_num()     {          return ...
자세한 내용 보기