Exercise: Helloworld

분석(Export)!

예제로 HelloWorld.exe를 분석해보는 실습을 해봅시다.

 

예제엔 1초를 대기 후 Hello, world!를 출력하는 프로그램으로, 오른쪽에서 내려받을 수 있습니다.
여러분이 직접 컴파일하고 분석할 수 있게 코드도 친절히 올려야죠

 

우리는 이 코드에 대하여 아무것도 모른단 전재하에 진행해야 리버싱이겠죠
자 그럼 한번 밑에 exe 파일을 다운로드 받거나 컴파일 하셔서 확인해봅시다 참고로 전 IDA 쓸거예요

/*
    File: hello-world.cpp
    Build opts:
      - /MT -> Library Static Linking
      - /DYNAMICBASE:NO -> Disable ASLR
      - /od -> Disable Optimization
*/
 
#include <Windows.h>
#include <stdio.h>
 
char* str;
int main() {
  int delay = 1000;
  Sleep(delay);  // 1000ms(1초)를 대기합니다.
  str = (char*)"Hello, world!\n";
  printf(str);
 
  return 0;
}

• HelloWorld 정적 분석
• HelloWorld 동적 분석

HelloWorld.exe

자세한 사용법은 귀찮기도 하고 앵간해선 바로 아실거니까 이미지로 대체 하도록 하죠

---

정적 분석

실행 후 끌어온 후 아무것도 건들지 말고 실행

정적 분석은 주로 main함수를 찾고, 이를 분석하며 시작됩니다.
이 예제엔 IDA가 이를 자동으로 찾아주지만 익숙해질겸 도움 없이 찾아보아야겠죠

 

바이너리에서 어떤 함수를 찾는 방법은 크게 두 가지가 있습니다.
하나는 프로그램의 시작 지점인 진입점(Entry Point;EP)부터 분석을 시작해 탐색하는 것이고,
다른 하나는 대상 함수의 특성이나 프로그램의 여러 외적인 정보를 이용해 탐색하는 방법입니다.

 

전자는 바이너리의 규모가 좀만 커져도 분석에 소요되는 시간이 급증하므로 일반적으론 적용이 어렵죠
그래서 여긴 후자의 방식으로 main 함수를 탐색해보아요

 

진입점부터 main함수까지 도달하는 경로를 정적으로 분석해보는 것도 좋은 분석 경험!!

---

문자열 검색🔍

프로그램을 정적 분석할 때, 많이 사용되는 정보 중 하나가 프로그램에 포함된 문자열입니다.

 

프로그래머는 디버깅 메세지를 출력하거나, 로그 파일을 생성하는 등의 목적으로 여러 문자열을 포함시키는데, 이 문자열들은 특성상 유용한 정보를 제공할 때가 많습니다. 예를 들면 프로그램의 로그와 관련된 문자열은 로그를 생성하는 함수의 이름과 인자가 적혀 있기도 합니다. 이 문자열이 어느 함수에서 사용되는지 찾는다면, 원하는 함수를 쉽게 찾을 수도 있고, 함수의 이름과 인자를 통해 기능을 유추할 수도 있을 거예요.

 

IDA는 바이너리에 포함된 문자열을 쉽게 찾을 수 있도록 "문자열 탐색" 기능을 제공합니다.
아래에 이미지를 차례대로 설명하자면

01

1. Shift + F12를 누르면 다음과 같이 바이너리에 포함된 문자열이 열거된 Strings 창이 뜸
2. 문자열 중 'Hello, world!' 라는 문자열이 있습니다.
   - 컴파일 과정에서 다양한 문자열이 바이너리에 추가되나 이 문자열은 프로그래머가 넣은 것으로 추측 가능
3. 이 문자열을 더블 클릭(or Curl+P)해 따라갑시다.

---

상황 참조🔀

정적 분석을 하다가 여러 이유(Ex. 수상한 값이나 함수를 찾을 때)로 참조할 함수를 분석할 때,
많은 정적 분석 도구들은 상황 참조(Cross Reference; XRef)라는 기능을 통해 이를 지원합니다.

 

그럼 앞에서 찾은 "Hello, world!\n"라는 수상한 문자열을 추적하는 방법을 알아봅시다

"aHelloWorld"를 클릭하고 상호 참조의 단축키 X를 누르면 위 이미지처럼 xrefs 창이 뜹니다.
이 창에는 해당 변수를 참조하는 모든 주소가 출력됩니다.

 

첫번째 항목을 클릭해 이를 따라가면.. 저는 sub_..+16이라고 뜨는데..
dreamhack에선 main으로 뜨는 걸 보아 차이가 약간씩 있나봐요(main이라.. 그럴 일이 없지만.. 왜죠?)

💡 main 함수를 찾는 일반적인 방법

 일반적으로 main 함수는 C계열 언어에서 프로그래머가 작성한 코드 중 가장 먼저 실행 함수!
리버싱을 처음 하시면 프로그램에서 가장 먼저 실행하는 코드가 main함수라 착각할 수 있으며
OS는 바이너리를 실행할 때, 바이너리에 명시된 EP로부터 프로그램을 실행, 일반화 오류 주의!


 진입점과 main함수의 사이를 채우는 것은 컴파일러의 몫으로 대부분의 컴파일러는 둘 사이에 여러 함수를 삽입하여 바이너리가 실행될 환경을 먼저 구성하고, 그 뒤에 main함수를 호출하죠. 해서 진입점에 위치하는 함수(임의로 start 함수)에 main함수를 찾을라면 많은 확인이 필요하며 직접해보면서 배우는 걸 추천!

---

main 함수 분석 by 정적 분석

이제 main함수를 찾았으니, F5(디컴파일)하여 함수의 주요 정보를 살펴봅시다.
하지만 전.. main함수로 안 뜨므로 설명만 해야겠네요 ㅠ

인자 분석을 하면 IDA는 argc, argv, envp로 3개의 인자를 받습니다.

1. Sleep함수를 호출하여 1초 대기합니다.
2. qword_14001DBE0에 “Hello, world!\n” 문자열의 주소를 넣습니다.
3. sub_140001060에 “Hello, world!\n” 를 인자로 전달하여 호출합니다.
4. 0을 반환합니다.

---

sub_140001060 함수 분석

이 함수의 디컴파일 결과를 살펴보면 먼저 va_start 함수를 통해 가변 인자를 처리하는 함수입니다.
sub_1400...2E28(1u)를 분석하면 인자인 a1를 받아드려 스트림하는 함수로
반환하기에 인자로 1이 들어가 stdout을 의미

 

따라서 문자열 인자를 받고 stdout 스트림을 내부적으로 사용하는 가변 함수!!
이 모든 정황을 통해 sub_140..1010은 반환을 하므로 printf 함수로 추정할 수 있습니다

💡스트림(Stream)이란?

데이터가 조금씩 흘러들어온다는 의미로 명명됨
데이터는 스트림의 형식으로 한 프로세스 → 다른 프로세스로, 또는 한 프로세스 → 파일 등으로 이동

 OS는 stdin(Standard input), stdout(Standard output), stderr(Standard error)
와 같은 기본 스트림들을 프로세스마다 생성해줍니다. 이들은 일반적으로 User와 프로세스 연결


 printf 함수(= stdout을 통해)으로, scanf 함수(= stdin을 통해) 프로세스에 전달해줌
이런 기본 스트림외에, 프로그래머의 필요에 따라 생성 가능!


Ex)dream.txt라는 텍스트파일에 데이터를 저장하고 싶다면, 이 파일과 스트림 형성 내용 작성 

---

main함수 분석 by 동적 분석

이번엔 앞에서 분석한 내용을 동적 분석으로 살펴봅시다
정적 분석에서 했던 것을 잘 생각해보고 해볼까요

---

중단점 설정(Break Point, F2) 및 실행(Run, F9)

동적 분석은 프로그램을 실행하면서 분석하는 방법이라고 했습니다. 그런데 우리는 대개 전체 프로그램 중 아주
일부분의 동작에만 관심이 있기에 특히 여기 예제에선 main함수겠죠.

 

그래서 효율적인 디버거를 위해 원하는 지점까지 프로그램을 실행시키는 중단점과 실행이라는 기능 존재!!
중단점을 특정 주소에 설정하고, 실행 명령을 내리면 프로그램은 중단점까지 멈추지 않고 실행되요.
우리는 main함수의 동작이 궁금하므로, 이 기능을 이용해 main함수로 진입하겠습니다.

01

1. main 함수에 중단점을 설정(F2)
2. 디버깅 시작해 main함수까지 실행(디버깅 실행; F9)
   - 디버거를 고르라는 창이 뜨면 Local Windows debugger를 선택해요
3. 동적 분석을 위한 준비 끝

---

한 단계 실행(Step Over, F8)

앞서 살펴본 중단점과 실행이 필요한 실행 과정을 생략하는 기능이라면, Step Over(F8)은 관심이 있는 부분의
코드를 정밀하게 분석하기 위해 사용하는 기능으로 F8을 누르며 프로그램 동작 분석 ㄱ

1. sub rsp, 38을 통해 main함수가 사용할 스택 영역 확보
2. rsp+0x20에 4byte 값이 0x000003e8을 저장
3. rsp+0x20에 저장된 값을 ecx에 옮김, 이는 함수의 첫 번째 인자를 설정하는 것!
4. Sleep함수를 호출; ecx가 0x3e8이므로, Sleep(1000)이 실행되어 1초간 실행이 멈춤
   
   
   
5. “Hello, world!\n” 문자열의 주소를 rax에 옮김
6. 아래의 메모리 덤프 창을 이용하여 0x14001a140의 데이터를 보면 실제로 해당 문자열이 저장됨
7. rax의 값을 data세그먼트의 주소인 0x14001dbe0에 저장
8. 0x14001dbe0에 저장된 값을 rcx에 옮김; 이는 다음 호출할 함수의 첫번째 인자로 사용됨
   
   
   
9. 0x140001060함수를 호출; 우리는 정적 분석을 통해 이 함수를 printf함수라고 추측했죠
10. 프로그램을 확인하면 Hello, world!가 출력됨 동적 분석은 이렇게 함수를 확인하기 쉽다
11. 시작할 때 확장한 스택 영역을 add rsp, 38을 통해 다시 축소하고, ret로 원해 실행 흐름으로 ㄱ

---

함수 내부로 진입하기(Step Into, F7)🤿

앞의 Step Over를 자세히 관찰했다면 Step Over가 함수 내부로 접근을 안했죠
함수가 호출하는 다른 함수까지 정밀하게 분석해야 할 때가 많죠..

 

많은 디버거는 그런 상황을 대비하여 Step Into(F7)라는 기능을 지원하고 있습니다.이번엔 printf()에 중단점을 설정하고,해당 함수의 내부로 진입해보겠습니다.

01

1. 디버깅을 중단(Ctrl-F2)하고, printf를 호출하는 0x14000110b에 중단점을 설정
2. 디버깅을 다시 시작하고, Continue(F9)를 하여, printf함수에 도달
3. F7 단축키를 통해 함수 내부로 들어가 함수 내부로 RIP가 이동한 것을 확인 가능

---

Appendix, 실행 중인 프로세스 조작하기

IDA를 이용하면 실행중인 프로세스의 메모리를 조작할 수 있습니다.

---

Sleep Forever

기존 코드에서는 Sleep(delay=1000)을 호출해 1초 동안 프로세스를 정지시켰죠.
이번엔 delay 값을 1000000으로 조작해 1000초 동안 프로세스를 정지시켜보겠습니다.

01234

1. delay를 Sleep함수의 인자로 전달하는 부분에 중단점을 설정하고, 프로세스를 재시작
2. 스택을 보면 rsp+0x20에 delay의 값인 0x3e8이 저장됨
3. 해당 값을 클릭해, F2를 누른 뒤 0xf4240(1000000) 입력/ delay의 값이 변경된 것 확인 가능
4. 이제 F9를 눌러서 Sleep함수를 호출 아마 대략 20분 정도 기달려야 프로세스 재개됨

여기선 결과를 체감하기 쉽게 해기 위해 Sleep함수의 인자를 조작했지만,
실제론 어떤 함수의 동작을 모를 땐 인자를 적절히 조작해 함수의 동작과 인자의 역할들을 유추!

 

참고로 오해할 수 있는 부분이 있기에 아래 Q&A에 올린 질문 링크 달아드릴께요
rdi rsi rdx rcx r7.. 뭐 이런 인자에 있어서 Sleep에 왜 ecx냐 라는 질문인데 아무래도 리눅스랑 윈도우는..

Sleep()인자로 ecx가 들어가는 이유는 무엇인가요?

---

코드 요약📝

이번 코스에서는 간단한 예제인 HelloWorld.exe를 IDA로 분석해보는 실습을 했습니다.
실습을 통해 IDA에 좀 더 익숙해지고, 동적 분석과 정적 분석의 차이를 느껴 보셨기를 바랍니다.

• BreakPoint(F2): 중단점을 설정합니다. 프로그램이 해당 지점에 도달하는 순간 정지
• Restart(Ctrl + F2): 디버깅을 중단합니다.
• Run(F9): 프로그램을 계속 실행, 또는 디버깅을 시작
• Step Into(F7): 어셈블리 코드를 한 줄 실행함 /함수의 호출이라면, 함수 내부로 들어감
• Step Over(F8): 어셈블리 코드를 한 줄 실행함 / 함수 내부로는 들어감 X

---

참고 자료

Exercise: Helloworld

 

Sleep()인자로 ecx가 들어가는 이유는 무엇인가요?

 

참고 이미지

Exercise: Helloworld