junsoo STUDY

IDA 사용법

IDA는 디스어셈블러입니다. IDA의 메인 기능은 디스어셈블이지만 이 외에도 여러 환경에서의 디버깅과 다양한 아키텍처 디컴파일과 같이 여러 가지 기능을 제공합니다. Functions window IDA에서 분석한 프로그램의 함수를 나열합니다. 해당 창서 Ctrl + F 단축키를 통해 원하는 함수를 찾을 수 있습니다. 임의 주소 및 레이블 이동 단축키 G를 사용해 임의 주소 또는 레이블로 이동할 수 있습니다. 함수 및 변수 이름 재설정 단축키 N 을 사용해 함수 및 변수 이름을 재설정할 수 있습니다. 정의되지 않은 함수 및 변수의 경우 해당 기능을 통해 이름을 설정하여 분석 속도를 향상시킬 수 있습니다. Cross reference (Xref) 임의의 함수 또는 변수를 클릭하고, 단축키 X 를 사용하면 해..

Exercise: Helloworld

정적 분석 IDA로 파일 열기 신뢰할 수 없는 프로그램을 분석할 때는 악성 프로그램일 가능성을 대비하여 정적 분석을 먼저 시도해보는 것이 바람직합니다. main 함수 찾기 정적 분석은 주로 main 함수를 찾고, 이를 분석하며 시작됩니다. 이 예제에서는 IDA가 이를 자동으로 찾아주지만, IDA와 익숙해질 겸, IDA의 도움을 받지 않고 main함수를 찾아보겠습니다. 바이너리에서 어떤 함수를 찾는 방법은 두 가지가 있다. 프로그램 시작 지점인 Entry Point 부터 분석을 시작하여 원하는 함수를 찾을 때까지 탐색 대상 함수의 특성이나 프로그램의 여러 외적인 정보를 이용하여 탐색 첫 번째 방법은 프로그램 규모가 조금만 커져도 시간이 오래 걸리는 방법이다. 따라서 2번이 바람직하다. 문자열 검색 정적 분..

x86 Assembly🤖: Essential Part(2)

프로시저(Procedure)는 특정 기능을 수행하는 코드 조각을 말합니다. 프로시저를 사용하면 반복되는 연산을 프로시저 호출로 대체할 수 있어서 전체 코드의 크기를 줄일 수 있으며, 기능별로 코드 조각에 이름을 붙일 수 있게 되어 코드의 가독성을 크게 높일 수 있습니다. x64어셈블리 언어에는 프로시저의 호출과 반환을 위한 call, leave, ret 명령어가 있습니다. call addr : addr에 위치한 프로시저 호출 연산 push return_address jmp addr leave : 스택프레임 정리 연산 mov rsp, rbp pop rbp ret : return address로 반환 연산 pop rip

x86 Assembly🤖: Essential Part

어셈블러는 일종의 통역사인데, 개발자들이 어셈블리어로 코드를 작성하면 컴퓨터가 이해할 수 있는 기계어로 코드를 치환해줬습니다. 어셈블리 언어 컴퓨터의 기계어와 치환되는 언어입니다. 이는 기계어가 여러 종류라면 어셈블리어도 여러 종류여야 함을 의미합니다. 그리고 앞에서 명령어 집합 구조를 설명할 때 cpu에 사용되는 ISA는 종류가 굉장히 다양합니다. 따라서 이들의 종류만큼 많은 수의 어셈블리어가 존재합니다. x64 어셈블리 언어 어셈블리 언어는 명령어(Operation Code), **피연산자(Operand)**로 구성됩니다. 명령어 피연산자 피연산자는 총 3가지 종류가 올 수 있습니다. 상수 레지스터 메모리 메모리 피연산자는 []으로 둘러싸인 것으로 표현되며 앞에 크기 지정자(Size Directive..