x86_32 Reverse Enginnering

x86_32 Reverse Enginnering
Last Update: 2015 05/07
Contact: [email protected]
Author: Ryoma Kawaguchi (B2, Keio University)
Jun Murai Lab., ARCH(Internet Architecture Research Team) @ Delta North.
gdbコマンドのメモ
ブレークポイントとレジスタの状態の表示
(gdb) b main
Breakpoint 1 at 0x1edc
Breakpoint 1, 0x00001edc in main ()
(gdb) info register ebp
ebp
0xbffff9c8
0xbffff9c8
(gdb) i r ebp
ebp
0xbffff9c8
0xbffff9c8
examineコマンド
<form>: x/(回数)<arg0><arg1>
<arg0>:
o.. octal
x.. hex
u.. unsigned deciaml
t.. binary
<arg1>:
b.. byte
h.. half word(2byte)
w.. word(4byte)
g.. giant(8byte)
32回16進数形式で4byteのデータを表示している状態。
一時的に計算させたい場合はprintコマンドを使えばgdb内で使える一時的な変数として利用できる。
(gdb) x/32xw $eip
0x1edc <main+12>:
0x1eec <main+28>:
0x1efc <main+44>:
0x1f0c <main+60>:
0x1f1c <main+76>:
0x1f2c <main+92>:
0x1f3c <main+108>:
0x1f4c <main+124>:
(gdb)
0x00b3888d
0x00f845c7
0x658d0f00
0x83ca01c2
0x8b000000
0x00000042
0x0000cb88
0x00000022
0x45c70000
0x89000000
0x8b000000
0xd029fee2
0x888df045
0xe9ec4589
0xf4558b00
0xe9e84589
0x000000fc
0x7d81f045
0xc189f845
0x0000003d
0x000000bd
0x0000001b
0x89240c89
0x00000000
0xf44d8900
0x000005f8
0x891fe9c1
0x19850f00
0xe8240c89
0x8df0458b
0xe8042454
0x05f8458b
(gdb) print $eip
$1 = (void (*)()) 0x1edc <main+12>
(gdb) print $eax+0xb3
$2 = 8078
(gdb) x/3s $2
0x1f8e: "Hi,Hello!"
0x1f98: "Hello,World!\n"
0x1fa6: "%s\n"
(gdb) x/32c $2
0x1f8e: 72 'H'
0x1f96: 33 '!'
0x1f9e: 87 'W'
0x1fa6: 37 '%'
105 'i'
0 '\0'
111 'o'
115 's'
44 ','
72 'H'
114 'r'
10 '\n'
72 'H'
101 'e'
108 'l'
0 '\0'
101 'e' 108 'l' 108 'l' 111 'o'
108 'l' 108 'l' 111 'o' 44 ','
100 'd' 33 '!' 10 '\n' 0 '\0'
1 '\001'
0 '\0' 0 '\0' 0 '\0'
呼び出し規約
__cdecl方式
int __cdecl sum(int a, int b) { int c = a+b; return c; }
int main(void) { sum(1,2); return 0; }
これを逆アセンブルすると次のようになる
sum:
push ebp
mov ebp, esp
push ecx
mov eax, dword ptr [ebp + 08h]
add eax, dword ptr [ebp + 10h]
mov dword ptr [ebp - 04h], eax
mov eax, dword ptr [ebp - 04h]
mov esp, ebp ; ebp = esp
pop ebp ; ebpに退避させておいたebpの値を入れ直す
retn ; ret
main:
push 2
push 1
call sum.xxxxxxxxx
add esp, 8 ; sumはint(4byte)の引数を2つ取るので8byte分スタックを修正
ここで、cdecl方式であるという判断基準は
call命令直後にadd esp, 8などのようにスタックポインタを引数サイズ分修正している部分が見受けられる事
cdecl方式はIntel x86系のCPUに多く、eax, ecx, edxレジスタは元の値を保存する事なく呼び出されたルーチン内で利用する事が許されている。
__stdcall方式
sum:
push ebp
mov ebp, esp
push ecx
mov eax, dword ptr
add eax, dword ptr
mov dword ptr [ebp
mov eax, dword ptr
mov esp, ebp ; ebp
pop ebp
retn 8
[ebp + 08h]
[ebp + 10h]
- 04h], eax
[ebp - 04h]
= esp
sum:
push 2
push 1
call sum.xxxxxxxxx
ここで、stdcall方式であるという判断基準は先ほどのcdeclではcall命令を呼び出した直後にルーチン外でスタックポインタの修正を行っていた
のに対して、stdcall方式ではルーチン内のretn命令でスタックポインタの修正を行うという点が特徴的である。
stdcall方式はWindows APIで多く利用されているデファクトスタンダードである。
__fastcall方式
sum:
push ebp
mov ebp, esp
sub esp, 0Ch
mov dword ptr [ebp
mov dword ptr [ebp
mov eax, dword ptr
add eax, dword ptr
mov dword ptr [ebp
mov eax, dword ptr
mov esp, ebp
pop ebp
retn
- 0Ch], edx ; arg2
- 08h], ecx ; arg1
[ebp - 08h]
[ebp - 0Ch]
- 4], eax
[ebp - 4]
main:
push ebp
mov ebp, esp
mov edx, 2
mov ecx, 1
call sum.xxxxxxx
xor eax, eax
pop ebp
retn
fastcall方式は、名前の通り引数が2以下であった時引数を直接ecx, edxレジスタに渡して通常2以下の引数を何度も繰り返し呼び出して高速に処
理したい時に利用される。(メモリを介すのとレジスタで直接受け渡しをするのでは速度面で大きな差が生じる)
特徴としてはサブルーチン呼び出し前にスタックへのpushがなくedx,ecxレジスタにmov命令で値のコピーを行っている箇所がある事だ。
__thiscall方式
thiscallはC++において主に利用される呼び出し規約であり、オブジェクトのthisポインタをecxレジスタに渡す特徴がある。
他はstdcallとほぼ同じ方式になっている。クラスで仕様しているメンバ変数などはecxレジスタをポインタとして ecx+x , ecx + y , ecx+z など
のオフセットと合わせて表現する事ができる。C++コードのアセンブリを読みながらでないとthiscallの実際の使われ方は理解できにくいため
thiscallの詳細については後述する。
分岐命令と文字列処理
分岐命令(分岐が一つしかない場合)
int main(void) {
int a = 0x200;
if(x > 200) { printf("x>200\n"); }
return 0;
}
この時、 call $+5 となっている時 $ は命令自身のアドレスを示している。
変数aはebp-Chに入っており、cmp命令で比較した後にjle命令を置き、x>0x200が成立しない場合はloc_1f62にジャンプしてそのままeaxに0を
代入してreturnしている。
なので上のアセンブリの流れをC言語の
int main(void) {
int a = 0x200;
if(x < 200) { goto loc_1f62; }
printf("x>200\n");
goto loc_1f62;
loc_1f62:
// mov eax, 0
// add esp, 18h
return 0;
}
このようになる。
文字列操作 (strcpy, strcat)
#include <stdio.h>
int main(void) {
char *s = "Hello World !";
char buff[SIZE];
strcpy(s,buff);
printf("%s\n",s);
return 0;
}
以下のソースコードをコンパイルする事によって得られる逆アセンブル結果は以下のようになる。
main:
or ecx, ffffffffh
xor eax, eax
lea edx, dword ptr ss:[esp]
push esi
push edi
mov edi, str32.hello ; "Hello World !"
repne scas byte ptr es:[edi] ; ecx: 0xffffffff -> 0xfffffff1
not ecx
; ~0xfffffff1 = 0xe (ASCIIの文字列の長さを取得)
sub edi, eax
mov eax, ecx
mov esi, edi
; ASCII -> esi
mov edi, edx
; lea edx, dword ptr ss:[esp]
shr ecx, 2
; ecx / 4
rep movs byte ptr es:[edi], dword ptr ds:[esi]
mov ecx, eax
and ecx, 3
; mod
rep movs byte ptr es:[edi], byte ptr ds:[edi]
lea ecx, dword ptr ss:[edp + 08h]
push ecx
push str32.xxxxx
push str32.xxxxx
この中の下のコードはASCII文字列の先頭アドレスをediに代入して、repne(ecx>0の時ZF=0繰り返し)命令を利用している。この時最初の部分で
ecxには0xffffffffがmovされているので、repne命令が実行された時点で0xfffffff1にecxが変更される。今求めたいのは、ASCII文字列の長さなので
not演算を行う事によって0xffffffff - 0xfffffff1 = 0xeとなり、文字列の長さが得られる。
mov edi, str32.hello ; "Hello World !"
repne scas byte ptr es:[edi] ; ecx: 0xffffffff -> 0xfffffff1
not ecx
; ~0xfffffff1 = 0xe (ASCIIの文字列の長さを取得)
repne命令が実行されるとその文ediレジスタのポインタが動くので、Hello,World!の一番前の部分にediのポインタを戻さなければならない。そ
のため、 sub edi,ecx の命令によってポインタを文字列の最初の部分に戻している。
その後、 shr ecx,2 を利用して左2bitシフトをする事によってカウンタレジスタを4で割っている。
その後dword * ecx = 4 * 3byte分をrep movs命令でediレジスタにコピーを行う。残りの2byte分はまだ転送されていないので、残りの余りバイト
数を求めるために and ecx,3 を実行して余りを求め、その後に同じrep movs命令を実行。引数をpushしてstrcpy命令が構成されている。
C++のアセンブリコード
本の丸写しではおもしろくないので自分でコードを書いて実際に読んでみる事にした。
以下のC++コードがあったとして-m32オプションでコンパイル。これをIDAで逆アセンブルすると次のようになる。
#include <stdio.h>
#include <string.h>
class Test {
public:
int n;
char name[128];
void show();
};
void Test::show() { printf("%d - %s", n, name); }
int main(int argc, char *argv) {
Test t;
printf("Size: %d\n", sizeof(t));
t.n = 0xfffe;
strcpy(t.name,"gucchan");
t.show();
}
__text:00001E30
__text:00001E30
__text:00001E30
__text:00001E30
__text:00001E30
__text:00001E30
__text:00001E30
__text:00001E30
__text:00001E30
__text:00001E30
__text:00001E30
__text:00001E30
__text:00001E30
__text:00001E30
__text:00001E30
__text:00001E30
__text:00001E30
__text:00001E31
__text:00001E33
__text:00001E34
__text:00001E35
__text:00001E3B
__text:00001E40
__text:00001E41
__text:00001E44
__text:00001E47
__text:00001E4D
__text:00001E4F
__text:00001E52
__text:00001E58
__text:00001E5D
__text:00001E60
__text:00001E63
__text:00001E66
__text:00001E6E
__text:00001E74
__text:00001E7A
__text:00001E7F
__text:00001E85
__text:00001E8B
__text:00001E91
__text:00001E9B
__text:00001EA1
__text:00001EA4
__text:00001EA8
__text:00001EAE
__text:00001EB3
__text:00001EB9
__text:00001EBC
__text:00001EC2
__text:00001EC7
__text:00001ECD
__text:00001ED3
__text:00001ED5
__text:00001ED8
__text:00001EDA
__text:00001EE0
__text:00001EE5
__text:00001EEB
__text:00001EEC
__text:00001EED
__text:00001EEE
; int __cdecl main(int argc, const char **argv, const char **envp)
public _main
_main
proc near
var_A8
var_A4
var_A0
var_9C
var_98
var_14
var_10
var_C
argc
argv
envp
=
=
=
=
=
=
=
=
=
=
=
dword
dword
dword
dword
dword
dword
dword
dword
dword
dword
dword
push
mov
push
push
sub
call
pop
mov
mov
mov
mov
mov
lea
mov
mov
mov
mov
mov
mov
mov
call
mov
lea
lea
mov
add
mov
mov
mov
call
lea
mov
mov
call
mov
mov
mov
mov
cmp
jnz
mov
add
pop
pop
pop
retn
ptr
ptr
ptr
ptr
ptr
ptr
ptr
ptr
ptr
ptr
ptr
-0A8h
-0A4h
-0A0h
-9Ch
-98h
-14h
-10h
-0Ch
8
0Ch
10h
ebp
ebp, esp
edi
esi
esp, 0B0h
$+5
eax
ecx, [ebp+argv]
edx, [ebp+argc]
esi, ds:(___stack_chk_guard_ptr - 1E40h)[eax]
esi, [esi]
[ebp+var_C], esi
esi, (aSizeD - 1E40h)[eax] ; "Size: %d\n"
edi, 84h
[ebp+var_10], edx
[ebp+var_14], ecx
[esp], esi
; char *
dword ptr [esp+4], 84h
[ebp+var_9C], eax
[ebp+var_A0], edi
_printf
ecx, [ebp+var_9C]
edx, [ecx+104h]
esi, [ebp+var_98]
[ebp+var_98], 0FFFEh
esi, 4
[esp], esi
; char *
[esp+4], edx
; char *
[ebp+var_A4], eax
_strcpy
ecx, [ebp+var_98]
[esp], ecx
; this
[ebp+var_A8], eax
__ZN4Test4showEv ; Test::show(void)
eax, [ebp+var_9C]
ecx, ds:(___stack_chk_guard_ptr - 1E40h)[eax]
ecx, [ecx]
edx, [ebp+var_C]
ecx, edx
loc_1EEF
eax, 0
esp, 0B0h
esi
edi
ebp
この部分が printf("Size:%d\n", sizeof(t)) の部分だろうと推定される。
次にTクラスの中の属性に0xfffeを代入する部分をみていく。
__text:00001E52
__text:00001E58
省略
__text:00001E63
__text:00001E66
__text:00001E7A
lea
mov
esi, (aSizeD - 1E40h)[eax] ; "Size: %d\n"
edi, 84h
mov
mov
call
[esp], esi
; char *
dword ptr [esp+4], 84h
_printf
ここで mov [ebp+var_98], 0xfffeh という記述がある、先頭から解釈されるためここはクラスTのメンバnであると分かる。
その後esiを4byte加算して char name[128] を指す値と"gucchan"を指すアドレスをスタックに乗せてcall _strcpyをしている
__text:00001E8B
__text:00001E91
__text:00001E9B
__text:00001EAE
lea
mov
add
call
esi, [ebp+var_98]
[ebp+var_98], 0FFFEh
esi, 4
_strcpy
C++コードの逆アセンブルにおいて、__thiscall方式ではecxにそのクラスのthisポインタを乗せる事を先に書いていた。
t.show() を実行する時にもそれが行われている。
__text:00001EB3
__text:00001EB9
__text:00001EBC
__text:00001EC2
lea
mov
mov
call
ecx, [ebp+var_98]
[esp], ecx
; this
[ebp+var_A8], eax
__ZN4Test4showEv ; Test::show(void)
引数無しのメンバ関数でも第一引数としてthisを受け取っており、
ebp+var_98のアドレスに存在するものがそのクラスのthisポインタという事になる。
C++の場合関数、クラスのオーバーロードが存在するために同じ関数名だと定義が衝突してしまう可能性があるために名前マングルを行ってい
る。
以下はTest::show()の中身。
__text:00001DF0
__text:00001DF0
__text:00001DF0
__text:00001DF0
__text:00001DF0
__text:00001DF0
__text:00001DF0
__text:00001DF0
__text:00001DF0
__text:00001DF0
__text:00001DF0
__text:00001DF1
__text:00001DF3
__text:00001DF6
__text:00001DFB
__text:00001DFC
__text:00001DFF
__text:00001E05
__text:00001E08
__text:00001E0B
__text:00001E0D
__text:00001E13
__text:00001E16
__text:00001E1A
__text:00001E1E
__text:00001E23
__text:00001E26
__text:00001E29
__text:00001E2A
__text:00001E2A
; Attributes: bp-based frame
; _DWORD __cdecl Test::show(Test *this)
public __ZN4Test4showEv
__ZN4Test4showEv proc near
; CODE XREF: _main+92p
var_8
var_4
this
= dword ptr -8
= dword ptr -4
= dword ptr 8
push
mov
sub
call
pop
mov
lea
mov
mov
mov
add
mov
mov
mov
call
mov
add
pop
retn
__ZN4Test4showEv endp
ebp
ebp, esp
esp, 18h
$+5
eax
ecx, [ebp+this]
eax, (aDS - 1DFBh)[eax] ; "%d - %s"
[ebp+var_4], ecx
ecx, [ebp+var_4]
edx, [ecx]
ecx, 4
[esp], eax
; char *
[esp+4], edx
[esp+8], ecx
_printf
[ebp+var_8], eax
esp, 18h
ebp

Download Report