Background: Static Analysis vs. Dynamic Analysis

---

리버스 엔지니어링

정적 분석(Static)과 동적 분석(Dynamic) 구분

정적 분석 : 외적인 관찰만을 통해 정보를 취득
동적 분석 : 실행을 통해 동작을 분석하는 것!

대게 정적인 방법과 동적인 방법을 적절히 혼용하면 대상을 효과적으로 분석 가능!
동적인 방법만을 고수하면 큰 구조를 놓칠 수 있고, 반대로 정적만 고수하면 실행을 통해
직관적으로 알 수 있는 부분을 분석하느라 시간을 허비할 가능성이 농후하죠..

따라서 우리는 정적 분석과 동적 분석 중 한 방법만을 고수하는 것이 아닌 상황에 따라 적절한 방법으로..
어떤 상황에 어떤 방법을 선택할 것이냐가 실력을 좌우하는 중요한 요소죠

---

정적 분석(Static Analysis)🔍

정적 분석(Static Analysis) : 프로그램을 실행시키지 않고 분석하는 방법

---

정적 분석의 장점🤗

" 프로그램의 전체구조를 파악하기 쉽다! "
정적 분석 도구들은 프로그램의 여러 정보를 살펴볼 수 있도록 도움을 주는데, 프로그램이 어떤 함수로 구성한지,
함수들은 서로 어떤 호출 관계를 갖는지, 어떤 API를 사용하고 어떤 문자열을 포함하는지 등 종합적 분석!

분석자는 이 정보들을 바탕으로 프로그램을 큰 관점에서 이해할 수 있다.
또한, 분석 환경의 제약에서도 비교적 자유롭습니다. 예시로썬 안드로이드 apk 파일이 있죠

마지막으로 바이러스와 같은 악성 프로그램의 위협으로부터 안전합니다.
만약 바이러스를 동적 분석할 경우, 바이러스를 실제로 실행해야 하므로 자신에 피해를 입을 수 있으나
정적 분석은 프로그램을 실행하지 않고 분석하므로 이런 걱정 ㄴㄴ

---

정적 분석의 단점😗

정적 분석은 프로그램에 난독화(Obfuscation)가 적용되면 분석이 매우 어려워지죠
최근엔 많은 개발자가 리버스 엔지니어링으로부터 보호를 위해 난독화 기법을 적용합니다.
적용하면 프로그램 코드가 심히 변형되어 이를 읽고, 실행 흐름을 파악하기 어려워집니다.
이를 해제(Deobfuscation)하기 위한 여러 연구가 진행되나, 여전히 많은 서비스 무력화 방법 알려짐 X

그리고 정적 분석만으로는 다양한 동적 요소를 고려하기 어렵죠. 프로그램은 실행중 상호작용되기 때문!
따라서 어떤 함수가 특정 시점에 정확히 어떤 인자와 전역 변수를 갖는지 실행하는지 정적으로 분석 힘듬
이런 문제는 프로그램의 실행 흐름이 복잡할수록 더욱 심각해짐

 

예시론 IDA로 보여주던데.. 이건 귀찮기때문에 나중에 IDA 리버스 엔지니어링에서 설명할께요
어짜피 뒤에 문제 4개에서 그리고 앞으로도 알차게 쓸거니까요 

정적 분석 IDA

 

---

동적분석(Dynamic Analysis)🔍

동적 분석(Dynamic Analysis) : 프로그램을 실행시키면서 분석하는 방법

---

동적 분석의 장점🤗

" 코드를 자세히 분석해보지 않고도 프로그램의 개략적인 동작을 파악 가능! "
대개의 프로그램은 많은 함수로 구성되어 서로 상호작용을 하기에 정적으로만은 이해하기 힘들죠

그러나 동적은 어떤 입력에 대한 개별 함수 또는 프로그램의 출력을 빠르게 확인할 수 있으므로,
이 출력값들을 기반으로 동작을 추론이 가능합니다 예시로써는 md5가 있죠(암호학)

---

동적 분석의 단점😗

 " 분석 확경을 구축하기 어렵다. "
동적 분석은 프로그램을 실행하면서 분석하는 것으로 프로그램 실행 X → 분석 X
그래서 다른 환경의 프로그램을 동적 분석할 땐 VM 구축 혹은 프로그램 실행 장비 구매 등 과정이 번거로움

또한, 앞서 정적 분석에 소개한 '난독화'처럼 동적 분석을 어렵게 하는 여러 기법들이 개발되었습니다.
그 중 대표적인 것이 동적 분석의 일종인 디버깅을 방해하는 안티 디버깅(Anti Debugging)입니다.

자세한 내용은 아래 링크에 자세히 정리되어 있더라고요 간단 정리하자면

<안티 디버깅>

static : 디버깅 시작할 때 한 번만 해체를 해주면 해결되는 기법
- 주로 디버거를 탐지하여 프로그램이 정상적 실행 안되게 하는 형식

dynamic : 디버깅을 진행하며, 해당 기법을 만날 때마다 해결해야함
- 디버거 트레이싱을 방해하여 원본 프로그램의 코드와 데이터를 확인할 수 없게 하는 법

디버거 트레이싱 : 디버기(디버깅 당하는 쪽)의 내부 실행을 하나씩 실행해 정보를 실시간으로
확인 하는 방법으로 한 줄씩 디버깅하는 방식

단순한 안티 디버깅의 예로, 아래의 코드처럼 자신이 디버깅 당하고 있는지 검사하고, 디버깅 중이면
프로그램을 강제로 종료시키는 방법이 있습니다.

 동적 분석을 하는 모습은 앞으로 풀 War_Game에서 친절하게 정리해드릴 것이기에
나중에 링크 달아드릴께요 한번 해보실 분은 코드 올려드릴께요

//helloworld.c
#include <stdio.h>
 
int main(){
  int n = 0x31337;
  printf("Hello World 0x%x\n", n);
 
  return 0;
}

---

 

참고 자료

Background: Static Analysis vs. Dynamic Analysis

 

[리버싱] 안티 디버깅

 

참고 이미지

Background: Static Analysis vs. Dynamic Analysis

 

Reverse Engineering free icons designed by Flat Icons