[System Hacking] 1주차 dreamhack stage 2 - (1)

1. 정적 분석 (Static Analysis)

: 프로그램을 실행시키지 않고 분석하는 방법

​

정적 분석의 장점 👍

- 프로그램의 전체 구조를 파악하기 쉽다.

- 분석 환경의 제약에서도 비교적 자유롭다.

· 분석을 지원하는 적절한 도구만 갖춘다면 시도 가능

- 바이러스와 같은 악성 프로그램의 위협으로부터 안전하다.

​

정적 분석의 단점 👎

- 프로그램에 난독화 (Obfuscation)가 적용되면 분석이 매우 어려워진다.

- 정적 분석만으로는 다양한 동적 요소를 고려하기 어렵다.

· 이 문제는 프로그램의 실행 흐름이 복잡할수록 더욱 심각해짐

​

​

​

정적 분석의 예

대표적인 정적 분석 도구 중 하나인 IDA를 사용하여 HelloWorld.exe라는 프로그램을 열면 아래와 같다.

 

이미지의 가운데 부분에서 프로그램의 어셈블리 코드를 살펴볼 수 있다.

이미지의 우측에 위치하는 코드는 디컴파일(Decompile)된 코드이다. 이들은 기계어를 사람이 이해하기 쉬운 언어로 나타내어 분석을 더욱 쉽게 할 수 있게 해준다.

​

이미지의 좌측에는 프로그램을 구성하는 여러 함수와 프로그램과 관련된 각종 정보를 볼 수 있다.

이외에도

상호참조 (Cross Reference) : 문자열이나 함수를 어디에서 사용하는 지 보여줌

제어 흐름 그래프 (Control Flow Graph) : 함수의 실행 흐름을 보기 쉽게 해줌

등을 통해 분석가가 프로그램을 쉽게 이해할 수 있도록 돕는다.

​

​

제어 흐름 그래프

 

​

​

​

​

​

2. 동적 분석 (Dynamic Analysis)

: 프로그램을 실행시키면서 분석하는 방법

​

동석 분석의 장점 👍

- 코드를 자세히 분석해보지 않고도 프로그램의 개략적인 동작을 파악할 수 있다.

· 어떤 입력에 대한 개별 함수 또는 프로그램의 출력을 빠르게 확인할 수 있으므로 이 출력값들을 기반으로 동작을 추론해볼 수 있다.

​

동적 분석의 단점 👎

- 분석 환경을 구축하기 어려울 수 있다.

· 동적 분석은 프로그램을 실행하면서 분석하는 것이므로, 프로그램을 실행하지 못하면 동적 분석을 진행할 수 없다. → 가상 머신이나 장치를 구매하는 것이 번거롭고 어려울 수 있다.

- 동적 분석을 어렵게 하는 여러 기법이 개발됨

-> 안티 디버깅 (Anti Debugging)

: 동적 분석의 일종인 디버깅을 방해함

아래와 같이 자신이 디버깅 당하고 있는지 검사하고, 디버깅 중이면 프로그램을 강제로 종료시킴

if (is_debugging()) // 디버깅인지 확인
  exit(-1); // 프로그램 종료
Func();

​

​

​

동적 분석의 예

윈도우의 대표적인 동적 분석 도구로는 디버거 중 하나인 x64dbg가 있다.

이를 이용하면 실행 중인 어셈블리 코드, CPU의 레지스터(Register) 상태, 메모리(Memory)와 스택(Stack)의 값을 확인하며 분석을 진행할 수 있다.

​

//helloworld.c
#include <stdio.h>
int main()
{
  int n = 0x31337;
  printf("Hello World 0x%x\n", n);
  return 0;
}

다음의 코드를 컴파일 한 HelloWorld.exe를 x64dbg로 동적 분석을 하면,

다음과 같이 왼쪽 위가 어셈블리, 왼쪽 아래가 메모리, 오른쪽 위가 레지스터, 오른쪽 아래가 스택의 정보를 보여준다.

 

 

1)  현재 코드는 0x31337이라는 상숫값을 스택에 저장하고 있다. 소스 코드의 int n = 0x31337에 대응된다.

2) 1의 코드를 실행한 직후, 이미지 아래를 보면 스택에 0x31337이 저장된 걸 확인할 수 있다.

3) printf 함수를 호출한다. 이미지 오른쪽 위의 레지스터를 보면, rcx에 Hello World 0x%x\n 문자열이, rdx에 0x31337이 저장된 것을 확인할 수 있다.

4) 3의 코드를 실행한 직후, 프로그램을 보면 Hello World 0x31337이 출력된 것을 확인할 수 있다.

​

​

위 예시처럼 동적 분석은 프로그램을 실제로 실행하며 시스템의 변화를 관찰하는 것이 특징이다.

​

​

​

​

​