기초지식 (레지스터와 어셈블리어)

버그 바운티

기업의 서비스나 제품 등의 취약점을 찾으면 포상급을 지급하는 제도

 

 

 

리버싱 (Assembly 언어) 2일

Anti Reversing      3일

분석방법(정적, 동적, 상세) 분석

 

 

IA32 Basices  (Intel Architecture) 기반

32비트 어셈블리   

 

 

레지스터 

 

전부 10을 가져오지만 비트 크기가 전부 다르다.

 

EAX = 10;   <- int eax =10;        // 32bit 전체 

AX = 10;     <- short ax = 10;    // 16bit 

AL = 10;    <- char al = 10;      // 8 bit

 

범용 레지스터

- ESP를 제외하고 나머지 레지스터들은 아무 값이나 저장.

 

EAX   

- 종료되는 상황에 값이 있으면 return 값을 의미한다.

ex) MOV EAX 10   -> Return 10

 

EDX

 - MUL, DIV(곱셈, 나눗셈) 값 저장 

ECX

 - 평소에는 그냥 계산 값

 - rep 명령이 있으면 반복 횟수로 변경

 

ESI   

- 출발지 주소 저장

EDI

- 목적지 주소 저장

ESP

- 스택의 주소만 저장.

- 제일 마지막에 들어온 데이터의 주소를 저장.

- 즉 , 스택의 최신 데이터를 가리킨다.

EBP

- 스택 프레임의 처음(기준) 지점의 주소를 저장.

- main() 함수가 실행되면 가장 처음 부분의 주소

- main() 함수가 있고 function() 함수가 실행되면 function()의 처음 주소.

EIP

- 다음 실행할 명령의 주소

 

 

flag 

- 상태 코드

연산 결과가 0이면

zero flag=0

연산 결과가 0이 아니면

zero flag=1

 

Break Point

- 멈춰야 되는 주소

software와 hardware로 나뉨. 

 

software 

디버거가 break Point를 지원

실행하다가 원하는 주소에서 멈출 수 있음.

 

Hardware

 - 이 메모리의 데이터를 읽거나 쓰거나 실행하면 멈추는 것.

 - 시작 값과 결괏값을 알 때 일련의 연산과정을 확인할 수 있음 (암호학 쪽에서 사용)

 

 

 

어셈블리어

 

MOV

- 데이터 복사

ex)

eax = 10;   // MOV EAX, 10   

10의 값을 EAX로 복사한다. 

MOV 10, 20 //이러한 형태는 되지 않는다.

 

X eXtention 확장이라는 의미

 

 

MOVZX

- 부호가 없는 정수에만 사용 //unsignend  부호 없는 정수 표현

ex)

 char 1byte  int 4byte

unsignend  int eax;

unsignend  char al =10;     

eax = al;   //작은 공간 -> 큰 공간으로 복사가 이뤄질 때 사용

MOVZX EAX , AX //부호 없는 정수 AX가 EAX에 들어갔다 해석.

부호없는 정수기 때문에 작은비트에서 큰비트로 복사 됐을 시, 부족한 비트는 0으로 채워짐.

 

MOVSX

- 부호가 있는 정수에만 사용

ex)

char 1byte  int 4byte

int eax;

char al =10;     

eax = al;   //작은 공간 -> 큰 공간으로 복사가 이뤄질 때 사용

 

MOVZX EAX , AX //부호 있는 정수 AX가 EAX에 들어갔다 해석.

부호가 있는 정수기 때문에 작은비트에서 큰비트로 복사 됐을 시, 부족한 비트는 1로 채워짐.

 

 

MOVS S(String)

- 문자열 복사

- 피연산자 개수가  0~2개이다.

- 다른 MOV 연산자들은 2개로 고정.

- 1,2,4 byte 씩 가능하다 64bit 시, 8byte도 가능.

 

- 문자열을 복사할 시, 알아서 주소를 변경해 복사를 해줌.

 

  방향 플래그(DF)가 1 이면 ESI와 EDI는 감소,

  방향 플래그(DF)가 0 이면 ESI와 EDI는 증가  //대부분이 증가한다.

 

 

MOVS 가 나올 때 무조건 크기를 명시해서 나옴. 아래와 같이 표시됨.

 

  BYTE == 1byte == B

  WORD == 2byte == W

  DWORD == 4byte == D

  QWORD == 8byte == Q  

 

MOVS     //피연산자가 없을 경우 , 크기에 따라 MOVSB  MOVSD MOVSW 이런 식으로 나타냄.

MOVSB // ESI의 1byte를  EDI로 옮긴다.

MOVSD // ESI의 4byte를  EDI로 옮긴다.

 

 

 

ESI  //출발지

EDI //도착지

MOVS EDI , ESI라는 연산 식이 고정이다. 따라서, 아래 연산 식이 전부 같은 의미.

MOVS EDI , ESI  

MOVS     //피연산자가 없을 경우 , 크기에 따라 MOVSB  MOVSD MOVSW 이런 식으로 나타냄.

MOVS EDI

MOVS ESI 

간단히 정리하면 , ESI의 값을 EDI로 복사할 거야 라는 의미이다.

 

ADD

더하기 연산자 

 

MOV EAX, 1

MOV EBX, 2

ADD EAX, EBX or ADD EAX, 2      

ADD 1, 2 //이런식의 문법은 오류다.

 

eax=1;

ebx=2;

eax+=ebx;

 

SUB

빼기 연산자

 

MOV EAX, 1

MOV EBX, 2

SUB EAX, EBX      

SUB 1, 2 //이런식의 문법은 오류다.

 

eax=1;

ebx=2;

eax-=ebx;

 

MUL

부호 없는 곱하기 연산자

- unsignend을 사용해야 보임.

- 결과는 EDX:EAX에 저장

 

IMUL

부호 있는 곱하기 연산자

 

- 피연산자의 수가 3개 까지 표현 가능

- 결과는 EDX:EAX에 저장

- 결괏값을 초기화할 때 양수면 0으로 초기화 음수면 1로 초기화

IMUL ECX -> //IMUL (EAX), ECX를 표현

IMUL EAX, EBX, ECX  //EBX * ECX의 값을 EAX의 저장

 

 

DIV

부호 없는 나누기 연산자

- unsignend을 사용해야 보임.

- 몫 : EAX

- 나머지 : EDX

 

IDIV

부호 있는 나누기 연산자

- 몫 : EAX

- 나머지 : EDX

- 나눗셈 수행 전 CBW, CWD, CDQ를 통해 부호 비트를 확장

- 음수면 1로 채우고 양수면 0으로 채운다.

 

 CBW 1byte 끼리 나누기

 CWD 2byte 끼리 나누기

 CDQ 2byte와 4byte를 나눌 때 큰 바이트를 따라감.

 

INC(++)

증가 연산자

값이 1씩 증가

 

DEC(--)

감소 연산자

값이 1씩 감소

 

AND 

둘다 참일 때만 참

 

MOV EAX, 59

MOV EBX, 15

AND EAX, EBX   //59와 15를 AND연산하여라.

 

eax = 59;

ebx = 15;

eax &= ebx;

 

OR

하나라도 참이면 참

 

MOV EAX, 59

MOV EBX, 15

OR EAX, EBX   //59와 15를 OR 연산하여라.

 

eax = 59;

ebx = 15;

eax |= ebx;

 

XOR

 같으면 0 다르면 1

 패리티 점검에 사용

 x^y=z ==  y^z=x

 

0을 선언할 때, 

MOV EBX, 0 이러한 식보다

XOR EBX, EBX   이러한 식이 더 유용하다. cpu가 논리연산을 선호하기 때문이다.

 

 

MOV EAX, 59

MOV EBX, 15

XOR EAX, EBX   //59와 15를 OR 연산하여라.

 

eax = 59;

ebx = 15;

eax ^= ebx;

 

SHL

연산자의 비트를 왼쪽으로 이동 곱셈

1의비트를 잃어버리면 곱셈의 규칙이 깨짐

 

MOV d1, 5

sh1 d1, 1

 

SHR

연산자의 비트를 오른쪽으로 이동 나눗셈 

1의비트를 잃어버리면 나눗셈의 규칙이 깨짐

 

MOV d1, 32

shr d1, 1

 

LEA

 

두번 째 Operand의 주소를 계산하고 첫번째 Operand에 저장

 

 

MOV 에서의 [ ]는 포인터 연산자이다.  즉, 

MOV eax, [edx+4] 는 edx+4의 주소를 eax의 저장한다라는 의미이다.

eax = *(edx+4);

LEA eax, [edx+4]   //edx+4의 결과를 eax의 저장

eax = edx+4;

 

 

SCAS (SCAn String)

EAX에 저장되어 있는 값과 ES:EDI가 가리키는 곳(주소) 에 저장되어 있는 값을 비교

SCASB  byte를 의미

 

 

 

STOS(STOre String)

EAX에 저장 되어 있는 값을 ES:EDI가 가리키는 곳에 값을 저장 

STOSB byte를 의미

 

 

 

 

CMP EAX, EBX  //EAX가 더크면 조건문 실행        if문 같은 제어문이 나올 때 나옴.

JG 0x1000

 

CMP, TEST, SCAS  //비교 연산자 대부분 JUMP와 연관되어 나옴.

JG 0x1000

JL

JE

JZ

JNZ

 

 

 

REP

ECX레지스터의 저장된 값 만큼  해당 명령어를 반복 실행, 접두사 형식으로 사용됨