Computer Science

---

Computer Architecture

Computer Architecture

퀴즈는 딱히 설명 안 할께요 저거 봤으면 진짜로 기초니까 어짜피 모르시면 다시 배워야해요

---

Background: Windows Memory Layout

메모리 레이아웃(Memory Layout) : 프로세스 가상 메모리(Virtual Memory)의 구성

 프로그램을 실행하면 OS는 프로세스에 사용 가능한 메모리 공간을 할당하며, CS에선 이 공간을 가상 메모리라고 부릅니다.

운영체제는 프로그램의 정보를 참고하여 프로그램에 저장된 데이터가 적절한 영역에 저장
프로세스가 사용할 가상 메모리를 용도별로 구획, 프로세스가 사용하는 데이터를 적절하게 구역에 저장함
유사한 데이터를 모아놓기 땜에 OS는 각 구역에 적절한 권한을 부여하며, 개발자는 프로세스 메모리 직관적 이해

SW 리버스 엔지니어링의 핵심은 바이너리를 분석해 바이너리의 동작을 이해하는 것입니다.

Computer Architecture

위 링크에 배웠든, 바이너리의 동작은 메모리와 면밀한 연관성이 있죠.
따라서 바이너리의 동작을 자세히 이해하기 위해선 바이너리와 상호작용하는 메모리에 대해서도 알아합니다.

---

개요🧾

• 섹션
  • .text
  • .data
  • .rdata
• 스택
• 힙

---

프로세스 메모리 구조

윈도우의 PE파일은 PE 헤더와 1개 이상의 섹션으로 구성되어 있습니다.

여기서 섹션은 우사한 용도로 사용되는 데이터가 모여있는 영역입니다.
예를 들면 ".text" 섹션에는 PE의 코드가 적혀있고, ".data"에는 PE가 실행중에 참조한 데이터가 있죠

섹션에 대한 정보는 PE 헤더에 적혀있습니다.
PE헤더에 저장되는 섹션과 관련 데이터 중, 중요한 것은 다음과 같습니다.

• 섹션의 이름/ 크기
• 섹션이 로드될 주소의 오프셋
• 섹션의 속성과 권한

Managing Memory Sections - Windows drivers

 

PE 형식 - Win32 apps

윈도우는 PE를 실행할 때, 이 정보를 참조해 PE의 각 섹션들을 가상 메모리에 적절한 세그먼트에 매핑!
PE에 필수 존재할 섹션이 정해진 것은 아니지만, ".text", ".data", ".rdata" 섹션을 일반적으로 사용함

---

.text

text 섹션은 실행 가능한 기계 코드가 위치하는 영역!

프로그램을 동작하기 위해선 이 세그먼트에 읽기 권한과 실행 권한이 부여됩니다.
반면 쓰기 권한이 있으면 공격자가 악의적인 코드를 삽입하기 쉬워지므로 요즘 대부분은 이 권한을 제거했죠

아래의 정수 31337을 반환하는 main함수가 컴파일 되면 554889e5b8697a00005dc3라는 기계코드를 반환하는데
이 기계 코드가 코드 세그먼트에 위치합니다.

---

.data

.data 섹션에는 컴파일 시점에 값이 정해진 전역 변수들이 위치!

CPU가 이 섹션의 데이터를 읽고 쓸 수 있어야 하므로, 읽기/ 쓰기 권한이 부여됩니다.
아래는 .data 섹션에 포함되는 여러 데이터의 유형입니다.

---

.rdata

.rdata 섹션에는 컴파일 시점에 값이 정해진 전역 상수와 참조할 DLL 및 외부 함수들의 정보 저장
CPU가 이 섹션의 데이터를 읽을 수 있어야하므로, 읽기 권한 부여! 하지만 쓰기는 불가능

아래는 .rdata 섹션에 포함되는 여러 데이터의 유형이며, 주의 깊게 볼 변수는 str_ptr입니다.
str_ptr은 "readonly"라는 문자열을 가르키는데, str_ptr은 전역 변수로서 .data에 위치하지만,
"readonly"는 상수 문자열로 취급되어 .rdata에 위치합니다.

과거에는 참조할 DLL과 외부 함수들의 정보를 .idata 섹션에 저장했으나, 최근엔 대부분 rdata에 저장됨

---

섹션이 아닌 메모리

윈도우의 가상 메모리 공간에는 섹션만 로드되는 것이 아니죠
프로그램 실행에 있어 필요한 스택과 힙 역시 가상 메모리 공간에 적재됩니다.

---

스택

윈도우즈 프로세스의 각 쓰레드는 자신만의 스택 공간을 가지고 있습니다.
보통 지역 변수나 함수 리턴 주소가 저장됩니다.

이 영역은 자유롭게 읽고 쓸 수 있어야 하기 때문에 읽기/쓰기 권한이 부여!
참고로 스택에 대해 '아래로 자란다'라는 표현을 종종 듣는데, 이는 스택이 확장될 때,
기존 주소보다 낮은 주소로 확장되기 때문입니다.

위 코드에서는 지역변수 choice가 스택에 저장되죠

---

힙

프로그램이 여러 용도로 사용하기 위해 할당받는 공간!
따라서 모든 종류의 데이터가 저장될 수 있습니다. 스택과 다른 점은 비교적 스택보다 큰 데이터도 저장되고
전역적으로 접근이 가능하도록 설계되었다는 점이죠. 또한 실행 중 동적으로 할당 받는 점까지 플러스!

권한은 보통 데이터를 읽고 쓰기만 하기 때문에 읽기/쓰기 권한만을 가지나, 상황에 따라 실행권한이 바뀝니다.

위 코드는 heap_data_ptr에 malloc()으로 동적 할당한 영역의 주소를 대입하고, 이 영역에 값을 씁니다.
heap_data_ptr은 지역변수이므로 스택에 위치하며, malloc으로 할당받은 힙 세그먼트의 주소를 가르킴

---

마무리

섹션	역할	일반적 권한	사용 예
.text	실행 가능한 코드가 저장된 영역	읽기, 실행	main() 등의 함수 코드
.data	초기화된 전역 변수가 위치하는 영역	읽기와 쓰기	초기화된 전역 변수, 전역 상수
.rdata	초기화된 전역 상수나 임포트 데이터가 위치하는 영역	읽기 전용	전역 상수, 임포트 데이터
스택	일시적으로 저장하고 사용하는 임시 영역	읽기, 쓰기	지역 변수, 함수의 인자 등
힙	자유롭게 사용할 수 있는 영역	읽기, 쓰기	malloc(), calloc() 등으로 할당 받은 메모리

 

---

참고 자료

Background: Windows Memory Layout

 

참고 이미지

Background: Windows Memory Layout

Memory Card free icons designed by Freepik