Evernote Export

Transcription

1 Exploit writing tutorial part 1 : Stack Based Overflows ** 번역목적 - 이 Article 은 corelan.be 에있는버퍼오버플로우에관한문서이다. 총 11 개의 Article 로구성되어있으며, 과연언제까지번역작업을할지모르겠다. -_-; 오역은원문을보시면서알아서해석하시기바란다. 영어공부및 BOF 개념이해목적으로번역 번역 : Atlantic 이메일 : appff@tistory.com 1. Intro Published : 2009 년 7 월 19 일 By Corelan Team 지난금요일 (2009 년 7 월 17 일 ), 닉네임이 'Crazy_Hacker' 라는사람이 Easy RM to MP3 Conversion Utility ( on XP SP2 En) 에서의취약점을 packetstormsecurity.org. (See 를통해서레포팅했다. 이취약점레포트는취약점의개념증명까지포함되었다. ( 그런데 XP SP3 En 의나의가상머신에서는실패했다. ) 다른 exploit 은시간이조금흐른후에릴리즈되었다. ( 포스팅되었다는것 ) -> 다른 exploit 은원문에링크가달려있으나밀웜사이트가폐쇄되어더이상접속이안되는것으로알고있음 당신은 PoC(Proof Of Concept) 코드를복사하고그것을실행할수있으며코드가실행되지않거나아니면당신이그 exploit 의원리를이해하려고시도하고그 exploit 의문제가되는코드를수정하거나아니면단지아무런사전준비지식없이그 exploit 을빌드할것이다. ( 그러나 : 당신이 Disassemble 을이해한다면 ( 어셈블리어 ) 쉘코드를정말빠르게읽고이해할수있을것이다. 필자는당신이단순히그 exploit 을얻고그것을실행하기위한조언은하지않을것이다. 만약에당신의컴퓨터에백도어가설치된다면이라는문제는아래의질문들을내포한다. 그질문은 : 어떻게 exploit 작성자들은그들의 exploit 들을빌드하는가? exploit 을가능케하는발견가능한문제를가진프로세스가무엇인지? 어떻게취약정보를이용해서당신의 exploit 을빌드할것인지? ) 내가이블로그를시작한이후로줄곧버퍼오버플로우의기초튜토리얼을작성하는것은줄곧내가해야할 일의목록에있었다. 하지만나는결코튜토리얼을만들시간이없었거나단순히그것을까먹었을뿐이다. 내가오늘그취약점레포트와그 exploit 을보았을때나는이취약점레포트가아주완벽한 exploit 을작성하는튜도리얼로서적합하다고판단했다. 그것은깔끔하고, 단순했으며나에게안정적인버퍼오버플로우와그렇게동작하는코드를작성하는몇가지기술을설명하는것을가능케했다. ( 좋은예제라는말 ) 그래서아마도이번이좋은기회일것이다. 위에서언급한취약점레포트에포함된 exploit 이이미동작하던지그렇지않던지간에필자는여전히 "Easy RM to MP3 conversion utility" 의그취약점을예제로사용할것이며, 우리는앞으로원래의 exploit 코드의어떠한참고없이 (Copy & Paste 를안하겠다는말 ) exploit 을작성하는단계를면밀히살필것이다. 우리는단지아무런사전지식없이 exploit 을작성할것이고이것은 XP SP3 에서동작하게만들것이다. 우리가계속이야기를하기전에곧바로당신이한가지알아야할것이있다. 이문서는순수하게교육적인 목적들에집중해서작성되어있다. 필자는누군가가이정보를실질적으로컴퓨터를해킹하거나불법적인 용도로사용하는것을원하지않는다. 그래서나는이문서를얻고불법적인용도로사용하는사람들의

2 행동에책임을질수없다. 만약당신이이것에동의하지않는다면당신은이웹사이트를계속해서 접속하는것이금지될것이다. 그리고즉시이웹사이트를떠나기바란다. 그렇긴해도어쨌든그정보의종류는대개그취약점의기본정보를포함하고있는취약점레포트에서얻을수있는것들이다. 이번경우에는취약점레포트는 "Easy RM to MP3 Converter version universal buffer overflow exploit that creates a malicious.m3u file" 을언급하고있다. 다른말로하자면당신은악의적인.m3u 파일을생성할수있고그프로그램속에함께배포하고 exploit 으로작동되게할수있다. 이러한취약점레포트들은아마대부분상세하게기술되어있지않을것이다, 하지만많은경우들에서당신은어떻게 crash 나그어플리케이션이기묘한동작을하게끔하는지에대한방법을얻을수있다. 만약그렇지않다면보안연구가는아마도누군가가처음으로찾아낸취약점을판매자에게알려주기원했을것이고그래서판매자들은취약점을수정할기회를얻거나아니면단순히그정보를취약점발견자들스스로간직하기를원할것이다. exploit 을작성하는방법에대한튜토리얼의첫번째시리즈를시작하기전에안내할사항이있다. 만약당신이 exploit 작성에대한이슈라던가질문, 팁이나트릭에대한토론을하기원한다면 discussion forum 을이용하기바란다. 당신은 /index.php/forum/writing-exploits 에서포럼에접속할수있다. 2. Verify the bug 첫번째로, 우리는그프로그램이악의적으로작성된 m3u file 을열때확실히 crash 를발생시키는지확인할것이다. ( 아니면당신이스스로만든코드를그프로그램에입력하고언제 crash 가발생하는지찾아라 ) 당신스스로그취약점을가진 Easy RM to MP3 설치파일을구하고 Windows XP 가구동중인컴퓨터에그것을설치해라. 그취약점레포트는 XP SP2 (english) 에서동작한다고기술하고있으나필자는 XP SP3(english) 를사용할것이다. Local copy of the vulnerable application can be downloaded here : Easy RM to MP3 Conversion Utility (2.8 MiB, 4,476 hits) You do not have permission to download this file. Quick sidenote : 당신은 oldapps.com 과 oldversion.com 에서프로그램의과거버전들을찾을수있거나 exploit.db.com ( 종종그취약점을가진프로그램의 local copy 를제공한다. ) 에서찾아볼수있다. 우리는다음의간단한 perl 스크립트로우리가그취약점에대해서더많은정보를발견하는것을도울 m3u 파일을생성할것이다.

3 my $file= "crash.m3u"; my $junk= "\x41" x 10000; open($file,">$file"); print $FILE "$junk"; close($file); print "m3u File Created successfully\n"; m3u file 을생성하기위해서 perl 스크립트를실행하라 개의 A(\x41 은 A 를표현하는 16 진수이다. ASCII) 로채우고있는 m3u 파일을 Easy RM to MP3 에서오픈한다. 프로그램은 error 를발생시키지만그에러는정확하게제어되고프로그램은 crash 를발생시키지않는다 개의 A 로채우는스크립트로수정하고다시시도하자. 그리고같은동작을해본다. ( exception 이정확하게제어되고, 우리는여전히다른도움이되는덮어쓰기 [Overwrite] 를하지못한다. ) 이제스크립트를 개의 A 로채우게끔바꾸고 m3u 파일을생성프로그램에서그것을오픈한다. 뻥 ~ 프로그램이죽었다. 좋다. 그러면그프로그램은우리가 개에서 개의 A 를포함하는파일을오픈하면 crash 를 일으킨다. 하지만우리가이것으로무엇을할것인가? 3.Verify the bug - and see if it could be interesting 확실히모든프로그램이어떤 exploitation 으로부터 crash 를발생시키는것은아니다. 많은경우에서프로그램의 crash 는 exploitation 으로이어지지않을것이다. 하지만때때로그렇게된다. "exploitation" 라는것은어떤프로그램이의도하지않은어떤행위 ( 예를들면당신의코드를실행시킨다거나 ) 를하게끔하는것을의미한다. 프로그램스스로의흐름을제어하는것은 ( 그리고그것을어딘가에서다른곳으로 redirect 하는것 ) 어떤다른행위를하게만들기위한가장쉬운방법이다. 프로그램의흐름을제어하는것은 Instruction Pointer 나 Program Counter 에의해서행해질수있다. Instruction Pointer 나 Program Counter 는다음에실행해야할명령어의위치가어딘지담고있는 CPU 레지스터이다. 프로그램이하나의매개변수와함께어떤함수를호출했다고생각해보자. 그함수를실행하기전에프로그램은현재의메모리위치를 instruction pointer 에저장한다. 이렇게현재메모리위치를함수가시작되기전에저장하는이유는프로그램이어떤임의의함수가완료되었을때다시돌아갈주소를알기위함이다. 만약당신이그포인터안에있는값을변경할수있고당신이만든코드조각을포함하는주소의위치를그포인터가가리키게할수있다면 ( 현재의메모리위치를변조하는데이메모리위치를 exploit 코드가담겨진메모리위치로변조한다는말이다. ) 당신은그프로그램의흐름을변경하고다른행위를실행시킬수있을것이다. ( 원래의위치로다시돌아가는것외의어떤행위 ex: exploit, program quit, etc.. ) 위에서말한흐름을제어한이후에니가실행하기를원하는코드라는것은 'shellcode' 를나타낸다. 만일우리의쉘코드를그어플리케이션에서실행할수있다면, 우리는그것을 exploit 을한다라고말할수있을것이다. 많은경우에이포인터라는것은 EIP 라는용어로참조된다. 이레지스터의크기는 4Byte 이고, 당신이그 4Byte 를변조할수있따면당신은그어플리케이션을가졌다고할수있다. ( 그리고그어플리케이션이실행중인컴퓨터도포함된다. ) -> 결국에는 EIP 를변조할수있으면그프로그램이 Exploit 될수있다는것이므로그프로그램이실행중인 컴퓨터마저도제어권을가져올수있다는의미다. ( 우리가원하는코드를실행시킬수있으므로 ) 4.Before we proceed - some theory

4 우리가앞으로필요하게될몇가지용어들을설명한다. 모든윈도우프로그램들은메모리의일부를사용한다. 프로세스메모리는 3 가지주요요소를포한한다. Code Segment ( 프로세서가실행하는명령어들이위치한다. EIP 는다음에실행되어야할명령어를항상유지한다. ) Data Segment ( 변수들, 동적메모리영역들 ) Stack Segment ( 함수로전달되는데이터와매개변수들, 그리고지역변수로사용되는공간, 스택은 ( 낮은메모리에서시작한다. ) 페이지의가상메모리끝부분에서부터시작해서아래로증가한다 ( to a lower address ). 스택의 TOP 에어떤것이 push 되고 POP 은스택으로부터하나의 4Byte 값이제거되면서그값을하나의레지스터에넣어준다. 만약당신이스택메모리에직접적으로접근한다면당신은스택의최상단을가리키는 ESP (Stack Pointer) 를사용할수있다. push 가되고난후 ESP 는더낮은메모리주소를가리킬것이다. ( 주소는스택에 push 된데이터의사이즈만큼감소한다. 이때 push 하는데이터가주소이거나포인터라면그크기는 4Byte 이다. ) POP 이되고난후 ESP 는더높은메모리주소를가리킬것이다. ( 주소는증가하게되고 ( 만약주소나포인터일경우 4Byte 만큼늘어날것이다. )). 스택으로부터하나의요소가제거되고난후에증가가발생한다. 함수나서브루틴에진입했을때, 스택프레임이생성된다. 이프레임은부모함수들의매개변수를유지하고 서브루틴으로향하는매개변수들의저장에이용된다. 스택의현재주소는스택포인터 (ESP) 를통해서 접근할수있으며함수의 Current base 는 base pointer (EBP or frame pointer 라고함 ) 안에포함된다. CPU 의범용레지스터들은아래와같다. (Interl, x86) : EAX : 가산기 : 계산을수행할때사용되고, 함수호출때리턴값을저장한다. 기본적인연산예컨데덧셈, 뺄셈, 비교연산들에서범용레지스터로사용된다. EBX : base ( 베이스포인터는범용목적이존재하지않는다.) 범용목적은없으며데이터저장용으로사용된다. ECX : Counter : interation 에이용되며. ECX 는아래로내려가면서카운팅한다. ( 뺄셈연산을하면서카운팅한다는뜻 ) EDX : Data : EAX 레지스터의확장용도로사용된다. 저장할데이터공간을확장함으로서좀더복잡한연산 ( 곱셈, 나눗셈 ) 이가능하게한다. ESP : stack pointer EBP : base pointer ESI : souce index : 입력받은데이터의위치를저장한다. EDI : destinatioin index : 데이터연산의결과를어디에저장하였는지그위치를가리킨다. EIP : instruction pointer 5.Process Memory

5 Win32 환경에서어떤프로그램이실행되었을때, 프로세스가생성되고가상메모리를할당받는다. 32bit 프로세서에서는할당받은가상메모리의범위가 0x 부터 0xFFFFFFFF 까지이며 0x 부터 0x7FFFFFFF 까지는유저영역으로할당되며 0x 부터 0xFFFFFFFF 까지는커널영역으로할당받는다. 윈도우는선형메모리모델을사용하고, 이선형메모리모델이라는것은 CPU 가페이징이나세그먼테이션을사용하지않고사용가능한모든메모리영역을직접적 / 순차적 / 연속적으로다룰수있음을의미한다. 커널영역메모리는 OS 에의해서만접근할수있다. 프로세스가생성되었을때, PEB(Process Execution Block) 과 TEB(Thread Environment Block) 이 생성된다. PEB 는현재프로세스와관련된유저영역의요소들을포함한다. : 메인함수의주소 로더데이터의주소 ( 모든 DLL / 프로세스에로드될수있는모듈들의리스트로사용된다. ) 힙에있는정보를가진주소 TEB 는스레드의상태와아래의내용을설명한다. 메모리안의 PEB 위치정보쓰레드에포함되는스택의위치정보 SEH 체인속의첫번째요소주소 ( 튜토리얼 3 과 3b 에서 SEH 체인이무엇인지에대해서더배울것이다. ) 그프로세스안에속한각쓰레드는하나의 TEB 를가진다. Win32 프로세스메모리맵은아래와같다 :

6 프로그램이미지와 DLL 정보를가진 text 세그먼트는읽기전용이며이영역은단순하게프로그램코드만을포함한다. 이영역이읽기전용인이유는사람들이프로그램코드를수정하는것을방지하기위해서이다. 이메모리세그먼트는고정된크기를가진다. 데이터세그먼트는전역변수나정적프로그램변수를저장하는데사용되며, 데이터세그먼트는초기화된전역변수, 문자열그리고다른상수들을위해서사용된다. 데이터세그먼트는고정된크기를가지고쓰기가가능하다. 힙세그먼트는나머지프로그램변수들을위해서사용된다. 힙영역은원하는대로작아지고커질수있다. 힙의모든메모리공간은 allocator ( and deallocator ) algorithms 에의해서제어된다. 이런알고리즘에의해서메모리영역이예약되며, 힙영역은높은메모리주소로커진다.

7 DLL, 프로그램코드, imports ( dll 에의해서아용된함수의리스트, 다른프로그램이나다른 dll ), 그리고 exports ( 다른프로그램들에서사용가능하게만들어진함수 ) 들은.text 세그먼트의한부분이다. 6.The Stack 스택은프로세스메모리의한조각인데, LIFO( 후입선출 ) 구조를가진데이터구조다. 스택은 OS 에의해서공간을할당받는데, 쓰레드가생성된시점에각각의쓰레드는하나씩할당받는다. 또한쓰레드가종료되었을때스택은 clear 된다. 스택의크기는그것이생성되었을때정의되고변할수없다. LIFO 방식으로동작되고스택이생성되고나면그크기가변할수없다는사실은 OS 가스택을관리하기위해서복잡한구조나메커니즘을필요로하지않음을의미하며, 결과적으로스택은매우빠르지만크기는제한되어있다는점이다. LIFO( 후입선출 ) 은가장최근에위치된데이터가 (push 명령어의결과 ) 스택에서처음으로제거된다는뜻이다. (pop 명령어에의해 ) 스택이생성되면, 스택포인터는스택의최상단을가리킨다. ( 스택의가장높은주소 ). 어떤정보가스택에 push 되면서, 이스택포인터는감소한다. ( 낮은메모리주소로 ) 그래서본질적으로스택은낮은주소로성장한다. 스택은지역변수나함수선언또는저장하는데많은시간이필요하지않은정보들을저장한다. 스택에더많은 데이터가추가되면서 (pushed onto the stack), 스택포인터는감소하며, 더낮은메모리주소를가리킨다. 함수가호출되면, 함수매개변수들은물론레지스터들의값 (EBP,EIP) 도스택에함께저장된다. 함수가 리턴되면원래프로그램의흐름으로다시복귀하기위해서저장된 EIP 값을스택으로부터참조해서그값을 주소로하여해당하는위치로돌아간다. 우리는아래의간단한코드를이용해서그동작을설명할것이다. : #include <string.h> void do_something(char *Buffer) { char MyVar[128]; strcpy(myvar,buffer); } int main (int argc, char **argv) { do_something(argv[1]); } ( 당신은코드를컴파일할수있을것이다. Dev-C 에 Win32 console project 를 (C 언어를 이용한다 C++ 이아니다.) 생성하고위의코드를복사하고그것을컴파일한다. ) 필자는그프로젝트의 이름을 stacktest 로했다. 프로그램을아래와같이실행한다. : "stacktest.exe AAAA". 어떠한것도리턴되지않는다.

8 이어플리케이션은하나의매개변수를갖는다. ( argv[1] 과 do_something() 함수에전달되는매개변수. do_something() 의매개변수는 128byte 길이를가진지역변수로복사된다. 만약그매개변수가 127byte 보다길어지면 (+ 스트링의끝을알리는하나의 NULLL byte), 그버퍼는아마도넘쳐날것이다. do_something(param1) 함수가메인으로부터호출되었을때아래와같은일들이발생한다. : 하나의스택프레임이생성될것이고부모스택의바로위에생성된다. 스택포인터 (ESP) 는새롭게생성된 스택의가장높은주소를가리킨다. 이것이스택의 top 이다. ( 디버거에서이런형태를볼수있는데아래를참조해라 ) 아래의그림에서 ESP 는 0022FF5C 를가리킨다. 이주소에우리는저장된 EIP 를볼수있으며 (Return to... 어쩌고 ~ 저장된 ), 매개변수 ( 이예제에서는 AAAA) 를가리키는포인터가아래에존재한다. 이포인터는 CALL 명령어가실행되기전에스택에되었다. 다음으로함수의 prolog 가실행된다. prolog 는기본적으로프레임포인터 (EBP) 를스택에저장하는데, 나중에이함수가리턴될때그것을복구하기위해서이다. EBP 를저장하는명령어는 push ebp 이다. ebp 가저장된이후에 ESP 는 4Byte 만큼감소된다.

9 다음으로 ebp 가 push 되고나면현재의스택포인터 (ESP) 가 EBP 에저장된다. 그시점에서 ESP 와 EBP 는똑같이현재의스택의 top 를가리킨다. 그시점이후로스택은 ESP( top of the stack at any time ) 와 EBP ( the base pointer of the current stack ) 에의해서참조되어진다. 이방법으로프로그램은 EBP 에 offset 을이용해서변수들을참조할수있다. 많은함수들이다음과같은시퀀스로시작한다. : PUSH EBP, 다음에는 MOVE EBP, ESP 그래서만약에당신이스택에또다른 4bytes push 연산을했다면, ESP 는다시감소될것이고 EBP 는여전히가리키던그곳을유지할것이다. 당신은 EBP-0x8 과같은명령어를이용해서저장해둔 4byte 매개변수들을참조할수있을것이다. 다음으로우리는 MyVar(128bytes) 의선언과할당을위해서스택공간이어떻게변하는지볼것이다. 몇몇공간들은데이터를보관하기위해서스택으로부터할당된다. ESP 는 bytes 만큼감소한다. 이 bytes 의길이는 128 bytes 를넘길가능성이있는데왜냐하면할당하는루틴이컴파일러에의해서결정되기때문이다. ( 입력이얼만큼될지모르는상태에서이미코드상에서사용할변수의크기를고정시켜버려서오버플로우의가능성이있다라고이해하면될듯하네요. -_-; ) Dev-C++ 의경우에이는 0x98 bytes 이다. ( 128 을 hex 로변환 ) 그래서당신은 SUB ESP,0x98 이라는 명령어를볼수있을것이다. 이명령어가 128bytes 길이의변수를위한사용가능한공간을할당하는것임을 알수있다.

10 그함수의 disassembly 는다음과같을것이다. : /$ 55 PUSH EBP E5 MOV EBP,ESP EC SUB ESP, B45 08 MOV EAX,DWORD PTR SS:[EBP+8] ; C MOV DWORD PTR SS:[ESP+4],EAX ; A0. 8D85 78FFFFFF LEA EAX,DWORD PTR SS:[EBP-88] ; A MOV DWORD PTR SS:[ESP],EAX ; A9. E CALL ; \strcpy AE. C9 LEAVE AF \. C3 RETN ( 코드에대해서너무걱정하지마라. 당신은명백하게함수의 prolog(push ebp and move ebp,esp) 를볼수있으며또한 MyVar(SUB ESP,98) 을위한공간이어디에서할당되는지도볼수있다. 그리고몇몇 MOV 와 LEA 명령어들도볼수있다. ( 기본적으로 strcpy 함수를위한매개변수를세팅하고 argv[1] 이존재하는주소와 MyVar 에그것을복사해넣기위한코드이다.)) 이함수속의 strcpy 함수가없다면, 이함수는현재종료될것이고스택을정리할것이다. 기본적으로 ESP 는 EIP 가저장된위치로돌아갈것이고 RET 명령어를호출할것이다. 이경우 RET 명령어는스택으로부터저장된 EIP 포인터를가져오고그곳으로점프한다.( 그러므로 do_soething 의어딘가에서 RET 가호출되면프로그램의흐름은다시메인함수로돌아가게될것이다.)

11 epilog 명령어는 LEAVE 명령어에의해서실행된다. (LEAVE 명령어는프레임포인터와 EIP 둘다복원할 것이다. ) 필자의예제에서우리는 strcpy() 함수를가진다. 이함수는버퍼가가리키는주소로부터데이터를읽고, <MyVar 변수를위한공간 > 에그값을저장하는데, null byte( string terminator ) 를만날때까지모든데이터를읽는다. 데이터를복사하는동안 ESP 는기존값이유지된다. strcpy() 함수는 push 명령어를이용해서스택에값을써넣지않는다. 기본적으로 index( 예를들면 ESP, ESP+1, ESP+2, etc) 를이용해서하나의바이트를읽고스택에저장한다. 그래서복사가끝난후에도 ESP 는여전히 string 의시작지점을가리킨다. 그것의의미는만약에버퍼에있는데이터가 0x98 보다길어지면 strcpy() 함수는저장된 EBP 나 EIP ( 그리고 그외의것들 ) 을 overwrite 할수있다. source location ( 이경우에는하나의문자열 ) 이 null byte 를 만날때까지계속해서읽고쓸것이다.

12 ESP 는여전히문자열의시작지점을가리킨다. strcpy() 함수가완료되면아무런문제도발생하지않는다. strcpy() 이후에그함수는끝이난다.(do_something 함수 ) 그리고재미난결과를얻을수있다. 이후에함수의 epilog 가시작된다. 기본적으로 EIP 가저장된위치로 ESP 가점프하고, RET 명령어를실행한다. 그림과같은상태에서프로그램은 ( 덮어쓰기된이후에우리의경우 AAAA or 0x ) 덮어씌여진 EIP 를가지고올것이고그주소 (0x ) 로점프할것이다. 이렇게함으로써당신은 EIP 를제어할수있는것이다. 짧게이야기하자면, EIP 를제어함으로써당신은기본적으로그함수가원래의흐름으로다시복기하기위한리턴주소를변경하는것이다. 물론당신이버퍼오버플로우를이용해서리턴값을변경한다면, 그것은더이상 "normal flow" 가아니다. 그래서당신은 MyVar, EBP, EIP 속의버퍼를덮어쓸수있음을생각할수있고당신은 EIP 가저장된전후의영역에 A 를가득채울수있을거다. 이러한사실에대해서생각을좀해보자. 버퍼를보낸후에 ( 버퍼의내용은 [MyVar][EBP][EIP][your code] -> 바로위그림을생각하면된다.), ESP 가당신의코드의시작지점을가리키게만든다면... 당신의코드로 EIP 가점프하게될것이고, 당신은프로그램을제어하게될것이다. Note : 스택에있는버퍼가오버플로우가발생했을때의용어는 "stack based overflow" 또는 "stack buffer overflow" 로사용된다. 당신이이전의스택프레임의끝을쓰려고노력할때도 stack overflow 라는 용어가사용된다. 이 2 가지를혼동하지마라그것들은전적으로다르다. 7.The debugger 스택의상태 ( 그리고레지스터들의값예를들면 instruction 포인터나스택포인터등등 ) 를보기위해서, 우리는그프로그램을디버거로후킹해야할필요가있다. 디버거로대상프로그램을후킹하면프로그램이 실행되었을때무엇이일어나는지볼수있다. ( 그리고특별하게프로그램이죽었을때같은상황 )

13 이러한목적을위한많은디버거들이있다. 필자는주로 Windbg 와 Immunity's Debugger 두가지를주로 사용한다. Let s use Windbg. Install Windbg (Full install) and register it as a post-mortem debugger using windbg -I. You can also disable the xxxx has encountered a problem and needs to close popup by setting the following registry key : HKLM\Software\Microsoft\Windows NT\CurrentVersion\AeDebug\Auto : set to 0 In order to avoid Windbg complaining about Symbol files not found, create a folder on your harddrive (let s say c:\windbgsymbols). Then, in Windbg, go to File Symbol File Path and enter the following string : SRV*C:\windbgsymbols* (do NOT put an empty line after this string! make sure this string is the only string in the symbol path field) If you want to use Immunity Debugger instead : get a copy here and install it. Open Immunity debugger, go to "Options" "Just in-time debugging" and click "Make Immunity Debugger just in-time debugger".

14 ** 디버거사용법은귀찮아서... ㅜㅜ ;; 좋다이제시작하자. Easy RM to MP3 을실행하고 crash.m3u 파일을다시오픈한다. 프로그램은다시 crash 를발생시킬것이다. 당신이만약팝업창을사용하지않게설정했다면 windbg 나 immunity debugger 는자동적으로튕겨나갈것이다. 팝업이떳다면 debug 버튼을누르고 debugger 가실행될것이다. Windbg : Immunity :

15 Immunity 디버거의 GUI 는똑같은정보를나타내지만, 좀더그래픽적인방법으로보여준다. 위쪽의좌측구석을보면 CPU view 창이존재하는데이것은어셈블리어로된명령어와그들의 opcode 를보여준다. ( 이윈도우는비어있는데 EIP 가현재 을가리키고있고그것이유효한주소가아니기때문이다. ) 우측상단의윈도우에서당신은레지스터들을볼수있다. 좌측아래에서 의메모리덤프를볼수있고우측하단에서당신은스택의내용을볼수있다. ( ESP 가가리키고있는위치의메모리내용을볼수있음 ) 어쨌든이두가지경우에서우리는 instruction 포인터가 ( hex 값으로 AAAA 를표현한것 ) 을 가지고있다는것을알수있다. A quick note before proceeding : 인텔 x86 에서는리틀엔디안방식으로주소가저장된다. 문자열 AAAA 는 AAAA 로보이지만, 만약에버퍼에 ABCD 가보내졌다면 EIP 는 (DCBA) 를가리킬 것이다. 단지 A 만을포함하는 m3u 파일때문에우리는 EIP 에정확하게값을써내기위한버퍼의크기를알수가없다. 다른말로하자면, 만약우리가구체적으로 EIP 를덮어쓰기한다면, 우리는사용가능한데이터를프로그램으로보내고 (BOF 를유발한다는말 ) 우리의 evil code(-_-;) 로점프하게만들수있는데이짓을하려면 ( ㅋㅋ의역입니다.) 버퍼나페이로드에서리턴주소를덮어쓸위치가정확히어디 ( 함수의리턴이되는시점에서 EIP 가되는곳 ) 인지알필요가있다. 이위치가종종 "offset" 으로나타난다. 8.Determining the buffer size to write exactly into EIP