[Reversing] 4주차 dreamhack stage 5

Exercise: Helloworld

 

1. 정적 분석

 

IDA로 파일 열기

 

 

main 함수 찾기

정적 분석은 주로 main 함수를 찾고, 이를 분석하며 시작된다.

 

바이너리에서 어떤 함수를 찾는 방법은 크게 두 가지가 있다.

1. 프로그램의 시작 지점인 진입점(Entry Point, EP)부터 분석을 시작해서 원하는 함수를 찾을 때까지 탐색 
   • 이 방법의 경우 바이너리의 규모가 조금만 커져도 분석에 소요되는 시간이 급증 
2. 대상 함수의 특성이나 프로그램의 여러 외적인 정보를 이용하여 탐색

 

 

문자열 검색 🔍

문자열들은 특성상 유용한 정보를 제공할 때가 많다.

ex) 프로그램의 로그와 관련된 문자열은 로그를 생성하는 함수의 이름과 인자가 적혀있기도 하다.

 

IDA는 바이너리에 포함된 문자열을 쉽게 찾을 수 있도록 "문자열 탐색" 기능을 제공하고 있다.

 

1. Shift + F12를 누릅니다. 다음과 같이 바이너리에 포함된 문자열이 열거된 Strings 창이 나타납니다.
2. 많은 문자열 중에 'Hello, world!'라는 문자열이 보입니다. 컴파일 과정에서 다양한 문자열이 바이너리에 추가되는데, 이 문자열은 그런 종류가 아니라 프로그래머가 넣었을 것으로 추측할 수 있습니다.
3. 이 문자열을 더블 클릭하여 따라갑니다.

 

 

상호 참조 🔀

정적 분석을 하다가, 어떤 수상한 값이나 함수를 찾았을 때 상호 참조(Cross Reference, XRef)라는 기능을 통해 참조하는 함수를 분석할 수 있다.

앞에서 찾은 "Hello, world!\n"이라는 수상한 문자열이 어디서 사용되는지 추적해보자.

 

"aHelloWorld"를 클릭하고 상호 참조의 단축키 X를 누르면 Figure2와 같이 xrefs(cross reference) 창이 나타난다.

이 창에는 해당 변수를 참조하는 모든 변수가 출력된다.

 

aHelloWorld를 못 찾겠어서 홈페이지 사진으로 대체했다..

main 함수

 

 

 

main 함수 분석

main함수를 찾았으므로, F5를 눌러서 이를 디컴파일 해보자.

main 함수 디컴파일

디컴파일된 코드를 통해 함수의 주요 정보를 살펴보자!

 

인자 분석

IDA는 argc, argv, envp로 3개의 인자를 받는다.

 

동작

1. Sleep 함수를 호출하여 1초 대기한다.

2. qword_14001DBE0에 "Hello, world!\n" 문자열의 주소를 넣는다.

3. sub_140001060에 "Hello, world!\n" 를 인자로 전달하여 호출한다.

4. 0을 반환한다.

 

반환 값

0을 반환한다.

 

 

퀴즈

퀴즈 

 

 

 

 

sub_14001060 함수 분석

sub_14001060 함수

• va_start 함수를 통해 가변 인자를 처리하는 함수임을 알 수 있다.
• __arct_job_func 함수는 스트림을 가져올 때 사용되는 함수
  • 인지로 들어가는 1은 stdout을 의미한다.
  • 따라서 문자열 인자를 받고 stdout 스트림을 내부적으로 사용하는 가변 함수임을 알 수 있다.
• 이 모든 정황을 통해 sub_14001060함수는 printf 함수로 추정할 수 있다.

 

* 스트림?

스트림(Stream)은 데이터가 조금씩 흘러들어온다는 의미에서 명명되었다.

데이터는 스트림의 형식으로 한 프로세스에서 다른 프로세스로, 또는 한 프로세스에서 다른 파일 등으로 이동한다.

운영체제는 stdin (standard input), stdout (standard output), stderr (standard error)와 같은 기본 스트림들을 프로세스마다 생성해준다. 이들은 일반적으로 사용자와 프로세스를 연결해주기 위해 사용된다.

print함수는 stdout을 통해 출력 데이터를 볼 수 있게 해주며,

scanf함수는 키보드 입력을 stdin으로 받아서 프로세스에 전달해준다.

이런 기본 스트림외에, 프로그래머는 필요에 따라 스트림을 생성할 수도 있다.

예를 들어, 프로그래머가 dream.txt라는 텍스트 파일에 데이터를 저장하고 싶다면, 이 파일과 스트림을 형성하여 내용을 작성할 수도 있다.

 

 

 

 

 

2. 동적 분석 

 

main 함수 진입

중단점 설정(Break Point, F2) 및 실행(Run, F9)

 

□ Run(F9) : 프로그램을 계속 실행, 또는 디버깅을 시작한다.

 

중단점을 특정 주소에 설정하고, 실행 명령을 내리면 프로그램은 중단점까지 멈추지 않고 실행된다.

main함수의 동작이 궁금하기 때문에 이 기능을 이용해서 main함수로 진입하도록 하겠다.

 

main 함수에 중단점 설정

F9키가 동작이 안돼서 홈페이지 사진으로 대체했다.

 

 

 

 

한 단계 실행 (Step Over, F8)

Step Over(F8)은 관심이 있는 부분의 코드를 정밀하게 분석하기 위해 사용하는 기능이다.

F8을 누르며 프로그램의 동작을 분석할 수 있다. 

 

□ Step Over(F8): 어셈블리 코드를 한 줄 실행한다. 함수 내부로는 들어가지 않는다.

 

1. sub rsp, 38을 통해 main 함수가 사용할 스택 영역을 확보한다.
2. rsp+0x20에 4 바이트 값인 0x000003e8을 저장한다.
3. rsp+0x20에 저장된 값을 ecx에 옮긴다. (함수의 첫 번째 인자를 설정)
4. Sleep함수를 호출합니다. ecx가 0x3e8이므로, Sleep(1000)이 실행되어 1초간 실행이 멈춘다.
5. “Hello, world!\n” 문자열의 주소를 rax에 옮긴다.
6. 아래의 메모리 덤프 창을 이용하여 0x14001a140의 데이터를 보면 실제로 해당 문자열이 저장되어 있음을 확인할 수 있다.
7. rax의 값을 data세그먼트의 주소인 0x14001dbe0에 저장한다.
8. 0x14001dbe0에 저장된 값을 rcx에 옮깁니다. 이는 다음 호출할 함수의 첫번째 인자로 사용될 것이다.
9. 0x140001060함수를 호출합니다. 정적 분석을 통해 이 함수를 printf함수라고 추측했다.
10. 프로그램을 확인하면, Hello, world!가 출력되어 있다. 정적 분석을 할 때는 함수의 기능을 추측하기 어려웠지만, 동적 분석으로는 문자열을 출력하는 함수라는 사실을 쉽게 알 수 있다.
11.  시작할 때 확장한 스택 영역을 add rsp, 38을 통해 다시 축소하고, ret으로 원래 실행 흐름으로 돌아간다.

 

 

 

 

함수 내부로 진입하기 (Step Into, F7)

Step Over는 함수의 내부로 진입하지 않는다.

그런데 어떤 함수를 분석하다 보면 그 함수가 호출하는 다른 함수까지 정밀하게 분석해야 할 때가 있다.

많은 디버거는 그런 상황을 대비하여 Step Into(F7)라는 기능을 지원하고 있다.

 

□ Step Into(F7): 어셈블리 코드를 한 줄 실행한다. 함수 내부로 들어간다.

 

이번 printf()에 중단점을 설정하고, 해당 함수의 내부로 진입해보자.

 

 

1. 디버깅을 중단(Ctrl-F2)하고, printf를 호출하는 0x14000110b에 중단점을 설정합니다.
2. 디버깅을 다시 시작하고, Continue(F9)를 클릭하여, printf 함수에 도달합니다.
3. F7 단축키를 통해 함수 내부로 들어갑니다. 함수 내부로 RIP가 이동한 것을 확인할 수 있습니다.

 

 

 

Appendix, 실행 중인 프로세스 조작하기

IDA를 이용하면 실행 중인 프로세스의 메모리를 조작할 수 있다.

 

Sleep Forever

기존 코드에서는 Sleep(delay=1000)을 호출하여 1초 동안 프로세스를 정지시킨다.

이번에는 delay의 값을 1000000으로 조작하여 1000초 동안 프로세스를 정지시켜보고자 한다.

 

 

 

1. delay를 Sleep함수의 인자로 전달하는 부분에 중단점을 설정하고, 프로세스를 재시작한다.
2. 스택을 보면 rsp+0x20에 delay의 값인 0x3e8이 저장되어 있다.
3. 해당 값을 클릭하고, F2를 누른 뒤 0xf4240(=1000000)을 입력합니다. 그리고 다시 F2를 눌러서 값을 저장한다. delay의 값이 변경된 것을 확인할 수 있다.
4. 이제 F9를 눌러서 Sleep함수를 호출한다. 아까와 달리 한참을 기다려도 프로세스가 재개되지 않습니다. 1000초는 대략 20분이므로, 20분 정도를 대기해야 프로세스가 재개된다.