Microsoft PowerPoint - windbgì‰¤ë¬´2(ë§‹ìš´í†¬ë¡œíﬂ—ë¡œì—¸ì—œCallingê·œìŁ½).pptx

Size: px

Start display at page:

Download "Microsoft PowerPoint - windbgì‰¤ë¬´2(ë§‹ìš´í†¬ë¡œíﬂ—ë¡œì—¸ì—œCallingê·œìŁ½).pptx"

명은 공
7 years ago
Views:

1 본강의 PDF 는하제소프트다운로드자료실에서받아보실수있습니다 하제소프트 주식회사하제소프트 ( 강사이봉석

2 과정소개 윈도우응용프로그램, 윈도우서비스프로그램, 윈도우디바이스드라이버를개발하는개발자들로하여금고급디버깅기술을제공하는 윈도우디버거 (WinDBG) 사용방법을익히게하여, 고급시스템프로그래머를양성하는데있습니다 윈도우디버거 (WinDBG) 를사용하는개발자는실무에서고급시스템프로그래머가갖추어야할중요한디버깅지식을습득함과동시에시간과비용을최대한아끼는프로그래밍습관과우수한결과물을만들어낼수있습니다

3 강사약력 본강사 ( 이봉석 ) 는기업교육 ( 삼성첨단기술센터, LG러닝센터, MDS테크놀러지 ) 과사설교육등에서 13년강사이력을가지고있으며, 현재주식회사하제소프트대표이사를역임하고있습니다. 저서로는, 윈도우디바이스드라이버, 실전윈도우디바이스드라이버, 고급개발자들만이알고있던디바이스드라이버구조와원리, 그리고제작노하우, 실전윈도우 CE 가이드, USB 너뭐니 가있습니다. 주식회사하제소프트는 17년간업체들이필요로하는윈도우디바이스드라이버, 리눅스디바이스드라이버그리고훰웨어를개발, 제공하는업체입니다.

4 과정진행목차 WinDBG 환경준비 Visual Studio 2015, WDK(Windows Driver Kit), WinDBG WinDBG 심볼설정 마이크로프로세서 Calling 규약 x86 CPU 에서 C 함수호출과어셈블리어연관성분석 x64 CPU 에서 C 함수호출과어셈블리어연관성분석 WinDBG 로칼디버깅 응용프로그램, 서비스프로그램디버깅 BSOD(BlueScreen Of Death) 커널덤프파일 커널덤프파일생성설정및덤프분석 WinDBG 원격디버깅 서비스프로그램, 커널디바이스드라이버디버깅 하드웨어와관련된 WinDBG 주요명령어 PCI, USB 버스를사용하는하드웨어를다룰때, 유용한 WinDBG 확장명령어를소개합니다 WinDBG 확장모듈 확장기능을제공하는모듈구현

5 2 강 마이크로프로세서 하제소프트 Calling 규약 (Convention) Calling 규약 (Calling Convention) 을배워보도록합니다 디스어셈블리된문맥 ( 코드 ) 을이해하는것은디버깅의기술을한차원올려줍니다 ( 늘고급언어로만볼수는없습니다 ) 디스어셈블리코드는대부분함수의내용이거나함수를호출하는문장으로구성되어있습니다 조금어렵게느껴질수있으니, 부담스러운학생들은함수호출시파라미터전달부분위주로만보세요 ^^

6 1. x86 과 Calling 규약 x86 CPU에서 C 함수를작성한뒤, 어셈블리어로변환시켜보도록합니다 int main() { int Sum; // 지역변수선언 Sum = SummaryFunction(1, 2); // 1 과 2 를함수에인자로입력 // SummaryFunction 함수의결과를 Sum 지역변수에담습니다 return 0;

7 1.1 레지스터 x86 CPU에서사용되는대표적인레지스터들입니다 프로그램코드실행위치 eax= ebx= ecx= edx= esi=00d91b80 edi= eip=77a0748c esp=007ef488 ebp=007ef4b4 iopl=0 nv up ei pl zr na pe nc <= Flag 레지스터중대표적 cs=0023 ss=002b ds=002b es=002b fs=0053 gs=002b efl= Dword (4Bytes) EAX AX Byte AH Word (2Bytes) Byte AL

8 32비트 하위 16비트 8비트 의미 EAX AX AH, AL Accumulator EBX BX BH, BL Base Register ECX CX CH, CL Count Register EDX DX DH, DL Double Precision Register ESI SI Source Index Register EDI DI Destination Index Register EBP BP Base Pointer Register ESP SP Stack Pointer EIP IP Instruction Pointer Flags Flag Register

9 1.2 Disassemby 연습 C 코드로작성된예재와이를어셈블리어로번역한내용을서로비교해보도록하겠습니다. 이과정을전부이해하기가곤란한학생들은함수를호출하는부분위주로살펴보면되겠습니다

10 1.2.1 C 소스코드예재 HRESULT CUserView::CloseView(void) { if (m_fdestroyed) return S_OK; BOOL fviewobjectchanged = FALSE; ReleaseAndNull(&m_pdtgt); if (m_psv) { m_psb->enablemodelesssb(false); if(m_pws) m_pws->viewreleased(); IShellView* psv; HWND hwndcapture = GetCapture(); if (hwndcapture && hwndcapture == m_hwnd) { SendMessage(m_hwnd, WM_CANCELMODE, 0, 0); m_fhandsoff = TRUE; m_frecursing = TRUE; NotifyClients(m_psv, NOTIFY_CLOSING); m_frecursing = FALSE; m_psv->uiactivate(svuia_deactivate); psv = m_psv; m_psv = NULL; ReleaseAndNull(&_pctView);

11 HRESULT CUserView::CloseView(void) {. if (m_pvo) { IAdviseSink *psink; if (SUCCEEDED(m_pvo->GetAdvise(NULL, NULL, &psink)) && psink) { if (psink == (IAdviseSink *)this) m_pvo->setadvise(0, 0, NULL); psink->release(); fviewobjectchanged = TRUE; ReleaseAndNull(&m_pvo); if (psv) { psv->saveviewstate(); psv->destroyviewwindow(); psv->release(); m_hwndview = NULL; m_fhandsoff = FALSE; if (m_pcache) { GlobalFree(m_pcache); m_pcache = NULL; m_psb->enablemodelesssb(true); CancelPendingActions(); ReleaseAndNull(&_psf); if (fviewobjectchanged) NotifyViewClients(DVASPECT_CONTENT, -1); if (m_psztitle) { LocalFree(m_pszTitle); m_psztitle = NULL; SetRect(&m_rcBounds, 0, 0, 0, 0); return S_OK; 하제소프트

12 1.2.2 Disassembly HRESULT CUserView::CloseView(void) SAMPLE!CUserView CloseView: push ebp bec mov ebp,esp [esp+0] = return address [esp+4] = this [ebp+0] = previous ebp pushed on stack [ebp+4] = return address [ebp+8] = this push ecx push ecx push esi a 8b7508 mov esi,[ebp+0x8] ; esi = this d 57 push edi ; 임시저장 if (m_fdestroyed) e 33ff xor edi,edi ; edi = beac cmp [esi+0xac],edi ; this->m_fdestroyed == 0? jz NotDestroyed ( f) ; 같으면 jump return S_OK; c0 xor eax,eax ; eax = 0 = S_OK a e jmp ReturnNoEBX (715172c1) ; EBX 레지스터값을스택에서 POP 하지않고 return

13 BOOL fviewobjectchanged = FALSE; ReleaseAndNull(&m_pdtgt); NotDestroyed: f 8d86c lea eax,[esi+0xc0] ; eax = &m_pdtgt push ebx b1d mov ebx,[_imp ReleaseAndNull] c 50 push eax ; ReleaseAndNull() 함수를위한파라미터준비 d 897dfc mov [ebp-0x4],edi ; fviewobjectchanged = FALSE ffd3 call ebx ; call ReleaseAndNull if (m_psv) { e74 cmp [esi+0x74],edi ; this->m_psv == 0? f je No_Psv ( c) ; jump if zero m_psb->enablemodelesssb(false); b 8b4638 mov eax,[esi+0x38] ; eax = this->m_psb e 57 push edi ; FALSE f 50 push eax ; 멤버함수호출시숨겨진파라미터 "this" b08 mov ecx,[eax] ; ecx = m_psb->lpvtbl ff5124 call [ecx+0x24] ; stdcall EnableModelessSB if(m_pws) m_pws->viewreleased(); b mov eax,[esi+0x114] ; eax = this->m_pws b 3bc7 cmp eax,edi ; eax == 0? d 7406 jz NoWS ( ) ; 같다면 jump f 8b08 mov ecx,[eax] ; ecx = m_pws->lpvtbl push eax ; 멤버함수호출시숨겨진파라미터 "this" ff510c call [ecx+0xc] ; stdcall ViewReleased NoWS: HWND hwndcapture = GetCapture(); ff15e01a5071 call [_imp GetCapture] ; call GetCapture

14 if (hwndcapture && hwndcapture == m_hwnd) { SendMessage(m_hwnd, WM_CANCELMODE, 0, 0); b 3bc7 cmp eax,edi ; hwndcapture == 0? d 7412 jz No_Capture (715171a1) ; 같으면 jump f 8b4e44 mov ecx,[esi+0x44] ; ecx = this->m_hwnd bc1 cmp eax,ecx ; hwndcapture = ecx? b jnz No_Capture (715171a1) ; 다르면 jump push edi ; push edi ; a1f push 0x1f ; WM_CANCELMODE a 51 push ecx ; hwndcapture b ff call [_imp SendMessageW] ; SendMessage No_Capture: m_fhandsoff = TRUE; m_frecursing = TRUE; a e0c or word ptr [esi+0x10c],0x8001 ; 최적화어셈블리된모습. 한번에두값을 TRUE로기록 NotifyClients(m_psv, NOTIFY_CLOSING); aa 8b4e20 mov ecx,[esi+0x20] ; ecx = (CNotifySource*)this.vtbl ad 6a04 push 0x4 ; NOTIFY_CLOSING af 8d4620 lea eax,[esi+0x20] ; eax = (CNotifySource*)this b2 ff7674 push [esi+0x74] ; m_psv b5 50 push eax ; 멤버함수호출시숨겨진파라미터 "this" b6 ff510c call [ecx+0xc] ; stdcall NotifyClients

15 m_frecursing = FALSE; b9 80a60d f and byte ptr [esi+0x10d],0x7f m_psv->uiactivate(svuia_deactivate); c0 8b4674 mov eax,[esi+0x74] ; eax = m_psv c3 57 push edi ; SVUIA_DEACTIVATE = c4 50 push eax ; 멤버함수호출시숨겨진파라미터 "this" c5 8b08 mov ecx,[eax] ; ecx = vtbl c7 ff511c call [ecx+0x1c] ; stdcall UIActivate psv = m_psv; m_psv = NULL; ca 8b4674 mov eax,[esi+0x74] ; eax = m_psv cd 897e74 mov [esi+0x74],edi ; m_psv = NULL d0 8945f8 mov [ebp-0x8],eax ; psv = eax ReleaseAndNull(&_pctView); d3 8d466c lea eax,[esi+0x6c] ; eax = &_pctview d6 50 push eax ; parameter d7 ffd3 call ebx ; call ReleaseAndNull f (m_pvo) { d9 8b86a mov eax,[esi+0xa8] ; eax = m_pvo df 8dbea lea edi,[esi+0xa8] ; edi = &m_pvo e5 85c0 test eax,eax ; eax == 0? e jz No_Pvo ( ) ; jump if zero if (SUCCEEDED(m_pvo->GetAdvise(NULL, NULL, &psink)) && psink) { e9 8b08 mov ecx,[eax] ; ecx = m_pvo->lpvtbl eb 8d5508 lea edx,[ebp+0x8] ; edx = &psink ee 52 push edx ; parameter ef 6a00 push 0x0 ; NULL f1 6a00 push 0x0 ; NULL f3 50 push eax ; 멤버함수호출시숨겨진파라미터 "this" f4 ff5120 call [ecx+0x20] ; stdcall GetAdvise f7 85c0 test eax,eax ; test bits of eax f9 7c2c jl No_Advise ( ) ; 작으면 jump fb 33c9 xor ecx,ecx ; ecx = fd 394d08 cmp [ebp+0x8],ecx ; _psink == ecx? jz No_Advise ( )

16 if (psink == (IAdviseSink *)this) d46ec lea eax,[esi-0x14] ; eax = -(IAdviseSink*)this d5614 lea edx,[esi+0x14] ; edx = (IAdviseSink*)this f7d8 neg eax ; eax = -eax (sets carry if!= 0) a 1bc0 sbb eax,eax ; eax = eax - eax - carry c 23c2 and eax,edx ; eax = NULL or edx neg sbb and add r r, r r, (val1 - val2) r, val e cmp [ebp+0x8],eax ; psink == (IAdviseSink*)this? b jnz No_SetAdvise ( e) ; 같지않으면 jump m_pvo->setadvise(0, 0, NULL); b07 mov eax,[edi] ; eax = m_pvo push ecx ; NULL push ecx ; push ecx ; b10 mov edx,[eax] ; edx = m_pvo->lpvtbl a 50 push eax ; 멤버함수호출시숨겨진파라미터 "this" b ff521c call [edx+0x1c] ; stdcall SetAdvise No_SetAdvise: psink->release(); e 8b4508 mov eax,[ebp+0x8] ; eax = psink push eax ; 멤버함수호출시숨겨진파라미터 "this" b08 mov ecx,[eax] ; ecx = psink->lpvtbl ff5108 call [ecx+0x8] ; stdcall Release No_Advise:

17 fviewobjectchanged = TRUE; ReleaseAndNull(&m_pvo); push edi ; &m_pvo c745fc mov dword ptr [ebp-0x4],0x1 ; fviewobjectchanged = TRUE f ffd3 call ebx ; call ReleaseAndNull No_Pvo: if (psv) { b7df8 mov edi,[ebp-0x8] ; edi = psv ff test edi,edi ; edi == 0? jz No_Psv2 ( a) ; 같으면 jump psv->saveviewstate(); b07 mov eax,[edi] ; eax = psv->lpvtbl a 57 push edi ; 멤버함수호출시숨겨진파라미터 "this" b ff5034 call [eax+0x34] ; stdcall SaveViewState psv->destroyviewwindow(); e 8b07 mov eax,[edi] ; eax = psv->lpvtbl push edi ; 멤버함수호출시숨겨진파라미터 "this" ff5028 call [eax+0x28] ; stdcall DestroyViewWindow psv->release(); b07 mov eax,[edi] ; eax = psv->lpvtbl push edi ; 멤버함수호출시숨겨진파라미터 "this" ff5008 call [eax+0x8] ; stdcall Release No_Psv2: m_hwndview = NULL; a 83667c00 and dword ptr [esi+0x7c],0x0 ; m_hwndview = 0

18 m_fhandsoff = FALSE; e 83a60c010000fe and dword ptr [esi+0x10c],0xfe if (m_pcache) { b4670 mov eax,[esi+0x70] ; eax = m_pcache c0 test eax,eax ; eax == 0? a 740b jz No_Cache ( ) ; 같으면 jump GlobalFree(m_pcache); c 50 push eax ; m_pcache d ff15b call [_imp GlobalFree] ; call GlobalFree m_pcache = NULL; and dword ptr [esi+0x70],0x0 ; m_pcache = 0 No_Cache: m_psb->enablemodelesssb(true); b4638 mov eax,[esi+0x38] ; eax = this->m_psb a 6a01 push 0x1 ; TRUE c 50 push eax ; 멤버함수호출시숨겨진파라미터 "this" d 8b08 mov ecx,[eax] ; ecx = m_psb->lpvtbl f ff5124 call [ecx+0x24] ; stdcall EnableModelessSB CancelPendingActions(); 하제소프트

19 d4eec lea ecx,[esi-0x14] ; ecx = (CUserView*)this e832fbffff call CUserView::CancelPendingActions (71516dac) ; thiscall ReleaseAndNull(&_psf); a 33ff xor edi,edi ; edi = 0 (for later) No_Psv: c 8d4678 lea eax,[esi+0x78] ; eax = &_psf f 50 push eax ; parameter ffd3 call ebx ; call ReleaseAndNull if (fviewobjectchanged) dfc cmp [ebp-0x4],edi ; fviewobjectchanged == 0? d jz NoNotifyViewClients ( ) ; 같으면 jump NotifyViewClients(DVASPECT_CONTENT, -1); b46ec mov eax,[esi-0x14] ; eax = ((CUserView*)this)->lpVtbl a 8d4eec lea ecx,[esi-0x14] ; ecx = (CUserView*)this d 6aff push 0xff ; f 6a01 push 0x1 ; DVASPECT_CONTENT = ff5024 call [eax+0x24] ; thiscall NotifyViewClients NoNotifyViewClients: if (m_psztitle) b mov eax,[esi+0x80] ; eax = m_psztitle a 8d9e lea ebx,[esi+0x80] ; ebx = &m_psztitle (for later) a0 3bc7 cmp eax,edi ; eax == 0? a jz No_Title (715172ad) ; 같으면 jump LocalFree(m_pszTitle); a4 50 push eax ; m_psztitle a5 ff call [_imp LocalFree] m_psztitle = NULL; ab 893b mov [ebx],edi ; m_psztitle = 0 No_Title: SetRect(&m_rcBounds, 0, 0, 0, 0); ad 57 push edi ; ae 57 push edi ; af 57 push edi ; b0 81c6fc add esi,0xfc ; esi = &this->m_rcbounds b6 57 push edi ; b7 56 push esi ; &m_rcbounds b8 ff15e41a5071 call [_imp SetRect]

20 return S_OK; be 33c0 xor eax,eax ; eax = S_OK c0 5b pop ebx ; 스택으로부터 restore ReturnNoEBX: c1 5f pop edi ; restore c2 5e pop esi ; restore c3 c9 leave ; 한번에스택으로부터 EBP, ESP레지스터를복원 c4 c20400 ret 0x4 ; 호출자로돌아가자마자스택주소값을 4만큼증가한다. Ret + (ESP+4)

21 1.3 파라미터와지역변수 x86 CPU에서 C 함수가사용하는파라미터와지역변수는다음과같은규칙을사용합니다 지역변수 파라미터 첫번째 [EBP-0xX] [EBP+0x8] 두번째 [EBP-0xN] [EBP+0xC] 세번째 [EBP-0xM] [EBP+0x10] 4 바이트씩증가합니다 지역변수는 [EBP-XX] 형태를가집니다. 하지만, 사용되는 XX 값은정해진규칙이없습니다 함수파라미터는 [EBP+XX] 형태를가집니다. 파라미터는사용되는순서에따라서 0x8 부터 4 바이트씩증가하는주소를사용합니다

22 현재 EBP 레지스터 int Function(..) { 스택위치 TOP TOP+0x04 TOP+0x08 TOP+0x0C TOP+0x10 값 Old EBP 리턴주소파라미터A 파라미터B 파라미터C [EBP+0x8] : A [EBP+0xC] : B [EBP+0x10] : C D = Function(A,B,C); return Z;

23 int main() { int Sum; push ebp mov ebp,esp sub esp,0cch push ebx push esi push edi 하제소프트 지역변수는 [EBP-XX] 형태로나타납니다 두번째파라미터 (2) 첫번째파라미터 (1) Sum = SummaryFunction(1,2); push 2 push 1 call 010f1320 // SummaryFunction add esp,8 // 두번의 PUSH를복원합니다 mov dword ptr [ebp-8],eax return 0; xor pop pop pop add cmp mov pop ret 지역변수 (Sum) 에담습니다 eax,eax edi esi ebx esp,0cch ebp,esp esp,ebp ebp 함수를호출합니다 함수리턴값은 EAX 레지스터에담겨집니다 C 함수를호출할때, 파라미터는스택에역순으로 PUSH 합니다함수를호출하는문장은 CALL XXXXX 형태를가집니다함수가리턴되면, 리턴값은 EAX 레지스터에담겨집니다리턴된값 (EAX) 을지역변수 (EBP-XX) 에담습니다

24 int SummaryFunction(int i, int j) { int c; // 지역변수선언 c = i + j; // 첫번째파라미터 i, 두번째파라미터 j 의값을더해서지역변수 c 에넣습니다 return c; // 지역변수의 c 의값을리턴합니다. 호출자에게되돌려줍니다 하제소프트 int SummaryFunction( int i, int j) { push ebp mov ebp,esp 지역변수 (c) 를위한영역이초기화 int c; sub push push push esp,0cch ebx esi edi 파라미터변수는 [EBP+XX] 형태로나타납니다 EAX 레지스터 <= 첫번째파라미터 (i), [EBP+8] c = i + j; return c; mov add mov mov pop pop pop mov pop ret eax,dword ptr [ebp+8] eax,dword ptr [ebp+0ch] dword ptr [ebp-8],eax eax,dword ptr [ebp-8] edi esi ebx esp,ebp ebp EAX 레지스터 += 두번째파라미터 (j), [EBP+C] 지역변수 (c), [EBP-8] <= EAX 레지스터 지역변수는 [EBP-XX] 형태로나타납니다 EAX 레지스터 <= 지역변수 (c), [EBP-8] 함수의리턴값은 EAX 레지스터에담겨집니다

25 1.4 디스어셈블리윤각 x86 CPU에서 C 함수가사용되는문장을디스어셈블리했을때나타나는윤각에대해서정리합니다 xxxxxx( ) // 피호출되는함수의내용 { mov [EBP+8], // 첫번째파라미터접근 mov [EBP+C], // 두번째파라미터접근 mov [EBP-8], // 지역변수접근 { // 함수를호출하는문장을담고있는내용 push??? // 마지막파라미터전달 push??? // 첫번째파라미터전달 call xxxxxx // 함수호출 add ESP, 파라미터수 * 4 // 스택을복원합니다 mov [EBP-8], EAX // 리턴값과지역변수접근 항상 [EBP+N] 형태는파라미터를접근하는행동입니다. 사용되는 N 값을보면, 몇번째파라미터인지를알수있습니다 항상 [EBP-N] 형태는지역변수를접근하는행동입니다 함수가리턴되면리턴값은항상 EAX 레지스터에담겨집니다

26 2. x64 과 Calling 규약 x64 CPU에서 C 함수를작성한뒤, 어셈블리어로변환시켜보도록합니다 하제소프트 비교를위해서 x86 과같은 C 소스를사용합니다 int main() { int Sum; // 지역변수선언 Sum = SummaryFunction(1, 2); // 1 과 2 를함수에인자로입력 // SummaryFunction 함수의결과를 Sum 지역변수에담습니다 return 0;

27 2.1 레지스터 x64 CPU 에서사용되는대표적인레지스터들입니다 프로그램코드실행위치 rax= cccccccc rbx= rcx= rdx= rsi= rdi= f2ffb28 rip=00007ff rsp= f2ffa18 rbp= f2ffa40 r8=000001d9e8038ec0 r9=00007ff80d30bbc0 r10= r11= f2ffad0 r12= r13= r14= r15= iopl=0 nv up ei pl nz na pe nc <= Flag 레지스터중대표적 cs=0033 ss=002b ds=002b es=002b fs=0053 gs=002b efl= Qword RAX (8Bytes) EAX Dword (4Bytes) Word (2Bytes) AX AH AL

28 64 비트하위 32 비트하위 16 비트 8 비트의미 RAX EAX AX AH, AL Accumulator RBX EBX BX BH, BL Base Register RCX ECX CX CH, CL Count Register RDX EDX DX DH, DL Double Precision Register RSI ESI SI Source Index Register RDI EDI DI Destination Index Register RBP EBP BP Base Pointer Register RSP ESP SP Stack Pointer RIP EIP IP Instruction Pointer Flags Flag Register R8..R15 R8D..R15D R8W..R15W R8B..R15B Common Register

29 2.2 Disassemby 연습 C 코드로작성된예재와이를어셈블리어로번역한내용을서로비교해보도록하겠습니다. 이과정을전부이해하기가곤란한학생들은함수를호출하는부분위주로살펴보면되겠습니다

30 2.2.1 C 소스코드예재 int Simple(int i, int j) { return i*5 + j + 3; 간단한소스이므로이곳에서바로 Disassembly 하도록하겠습니다 lea eax,[rdx+rcx*4] ; eax = rdx+rcx* lea eax,[rcx+rax+0x3] ; eax = rcx+rax ret

31 HRESULT Meaningless(IDispatch *pdisp, DISPID dispid, BOOL funique, LPCWSTR pszexe) { IQueryAssociations *pqa; HRESULT hr = AssocCreate(CLSID_QueryAssociations, IID_IQueryAssociations, (void**)&pqa); if (SUCCEEDED(hr)) { hr = pqa->init(assocf_init_byexename, pszexe, NULL, NULL); if (SUCCEEDED(hr)) { WCHAR wszname[max_path]; DWORD cchname = MAX_PATH; hr = pqa->getstring(0, ASSOCSTR_FRIENDLYAPPNAME, NULL, wszname, &cchname); if (SUCCEEDED(hr)) { VARIANTARG rgvarg[2] = { 0 ; V_VT(&rgvarg[0]) = VT_BSTR; V_BSTR(&rgvarg[0]) = SysAllocString(wszName); if (V_BSTR(&rgvarg[0])) { DISPPARAMS dp; LONG lunique = InterlockedIncrement(&lCounter); V_VT(&rgvarg[1]) = VT_I4; V_I4(&rgvarg[1]) = funique? lunique : 0; dp.rgvarg = rgvarg; dp.cargs = 2; dp.rgdispidnamedargs = NULL; dp.cnamedargs = 0; hr = pdisp->invoke(dispid, IID_NULL, 0, DISPATCH_METHOD, &dp, NULL, NULL, NULL); VariantClear(&rgvarg[0]); VariantClear(&rgvarg[1]); else { hr = E_OUTOFMEMORY; pqa->release(); return hr; 하제소프트

32 2.2.2 Disassembly Meaningless: e0 push rbx ; 스택으로레지스터를임시로 save e1 push rsi ; save e2 push rdi ; save e3 push r12d ; save e5 push r13d ; save e7 push r14d ; save e9 push r15d ; save eb sub rsp,0x2c0 ; 지역변수를위해서스택위치를조정 f2 mov rbx,r9 ; rbx = pszexe f5 mov r12d,r8d ; r12 = funique (zero-extend) f8 mov r13d,edx ; r13 = dispid (zero-extend) fb mov rsi,rcx ; rsi = pdisp IQueryAssociations *pqa; HRESULT hr = AssocCreate(CLSID_QueryAssociations, IID_IQueryAssociations, (void**)&pqa); fe movdqu xmm0,oword ptr [CLSID_QueryAssociations ( )] movdqu oword ptr [rsp+0x60],xmm0 ; 임시 buffer에첫번째파라미터를보관 c lea r8,[rsp+0x58] ; arg3 = &pqa lea rdx,[iid_iqueryassociations ( )] ; arg2 = &IID_IQueryAssociations lea rcx,[rsp+0x60] ; arg1 = &temporary ( 임시 buffer 에서값을끄집어냄 ) d call qword ptr [_imp_assoccreate ( )] ; call if (SUCCEEDED(hr)) { test eax,eax jl ReturnEAX ( )

33 hr = pqa->init(assocf_init_byexename, pszexe, NULL, NULL); b mov rcx,[rsp+0x58] ; arg1 = pqa mov rax,[rcx] ; rax = pqa.vtbl xor r14d,r14d ; r14 = mov [rsp+0x20],r14 ; arg5 = b xor r9d,r9d ; arg4 = e mov r8,rbx ; arg3 = pszexe mov r15d,0x2 ; r15 = 2 (for later) mov edx,r15d ; arg2 = 2 (ASSOCF_INIT_BY_EXENAME) a call qword ptr [rax+0x18] ; call Init method if (SUCCEEDED(hr)) { d mov ebx,eax ; ebx = hr f test ebx,ebx ; FAILED? jl ReleasePQA ( ) ; 작으면 jump ( 음수 ) WCHAR wszname[max_path]; DWORD cchname = MAX_PATH; hr = pqa->getstring(0, ASSOCSTR_FRIENDLYAPPNAME, NULL, wszname, &cchname); if (SUCCEEDED(hr)) { mov dword ptr [rsp+0x50],0x104 ; cchname = MAX_PATH f mov rcx,[rsp+0x58] ; arg1 = pqa mov rax,[rcx] ; rax = pqa.vtbl lea rdx,[rsp+0x50] ; rdx = &cchname c mov [rsp+0x28],rdx ; arg6 = cchname lea rdx,[rsp+0xb0] ; rdx = &wszname[0] mov [rsp+0x20],rdx ; arg5 = &wszname[0] e xor r9d,r9d ; arg4 = mov r8d,0x4 ; arg3 = 4 (ASSOCSTR_FRIENDLYNAME) xor edx,edx ; arg2 = call qword ptr [rax+0x20] ; call GetString method c mov ebx,eax ; ebx = hr e test ebx,ebx ; FAILED? jl ReleasePQA ( ) ; 작으면 jump ( 음수 )

34 VARIANTARG rgvarg[2] = { 0 ; lea rdi,[rsp+0x82] ; rdi = &rgvarg e xor eax,eax ; rax = a0 mov ecx,0x2e ; rcx = sizeof(rgvarg) a5 rep stosb ; 0 값으로기록한다 (memset) V_VT(&rgvarg[0]) = VT_BSTR; V_BSTR(&rgvarg[0]) = SysAllocString(wszName); if (V_BSTR(&rgvarg[0])) { a7 mov word ptr [rsp+0x80],0x8 ; V_VT(&rgvarg[0]) = VT_BSTR b1 lea rcx,[rsp+0xb0] ; arg1 = &wszname[0] b9 call qword ptr [_imp_sysallocstring ( )] ; call bf mov [rsp+0x88],rax ; V_BSTR(&rgvarg[0]) = result c7 test rax,rax ; SysAllocString 함수의리턴값이있으면, ca je OutOfMemory ( f) ; 이값이 0 이면, Jump DISPPARAMS dp; LONG lunique = InterlockedIncrement(&lCounter); d0 lea rax,[lcounter ( )] d7 mov ecx,0x dc lock xadd [rax],ecx ; 배타적접근을위한 interlocked exchange 와 add e0 add ecx,0x1 V_VT(&rgvarg[1]) = VT_I4; V_I4(&rgvarg[1]) = funique? lunique : 0; e3 mov word ptr [rsp+0x98],0x3 ; V_VT(&rgvarg[1]) = VT_I4; ed mov eax,r14d ; rax = 0 (r14d 값은현재 0 입니다 ) f0 test r12d,r12d ; funique 값이기록되어있는가? f3 cmovne eax,ecx ; 만일그렇다면 set rax=lcounter f6 mov [rsp+0xa0],eax ; V_I4(&rgvarg[1]) =...

35 dp.rgvarg = rgvarg; dp.cargs = 2; dp.rgdispidnamedargs = NULL; dp.cnamedargs = 0; fd lea rax,[rsp+0x80] ; rax = &rgvarg[0] mov [rsp+0x60],rax ; dp.rgvarg = rgvarg a mov [rsp+0x70],r15d ; dp.cargs = 2 (r15 is still 2) f mov [rsp+0x68],r14 ; dp.rgdispidnamedargs = NULL mov [rsp+0x74],r14d ; dp.cnamedargs = 0 hr = pdisp->invoke(dispid, IID_NULL, 0, DISPATCH_METHOD, &dp, NULL, NULL, NULL); mov rax,[rsi] ; rax = pdisp.vtbl c mov [rsp+0x40],r14 ; arg9 = mov [rsp+0x38],r14 ; arg8 = mov [rsp+0x30],r14 ; arg7 = b lea rcx,[rsp+0x60] ; rcx = &dp mov [rsp+0x28],rcx ; arg6 = &dp mov word ptr [rsp+0x20],0x1 ; arg5 = 1 (DISPATCH_METHOD) c xor r9d,r9d ; arg4 = f lea r8,[guid_null ( )] ; arg3 = &IID_NULL mov edx,r13d ; arg2 = dispid mov rcx,rsi ; arg1 = pdisp c call qword ptr [rax+0x30] ; call Invoke method f mov ebx,eax ; hr = result VariantClear(&rgvarg[0]); VariantClear(&rgvarg[1]); lea rcx,[rsp+0x80] ; arg1 = &rgvarg[0] call qword ptr [_imp_variantclear ( )] f lea rcx,[rsp+0x98] ; arg1 = &rgvarg[1] call qword ptr [_imp_variantclear ( )] d jmp ReleasePQA ( )

36 else { hr = E_OUTOFMEMORY; OutOfMemory: f mov ebx,0x e ; hr = E_OUTOFMEMORY pqa->release(); ReleasePQA: mov rcx,[rsp+0x58] ; arg1 = pqa mov rax,[rcx] ; rax = pqa.vtbl c call qword ptr [rax+0x10] ; release return hr; f mov eax,ebx ; rax = hr ( 리턴값을준비합니다 ) ReturnEAX: add rsp,0x2c0 ; 지역변수를위해사용하던스택을복원합니다 pop r15d ; 함수진입시보관했던레지스터값들을 restore a pop r14d ; restore c pop r13d ; restore e pop r12d ; restore pop rdi ; restore pop rsi ; restore pop rbx ; restore ret ; 호출자에게돌아갑니다

37 X64 CPU 환경에서는호출시규약은지켜지지만피호출함수내에서파라미터접근방법 (RBP+xx) 은지켜지지않습니다 2.3 파라미터와지역변수 하제소프트 x64 CPU에서 C 함수가사용하는파라미터와지역변수는다음과같은규칙을사용합니다 파라미터의경우, 함수를호출할때와, 피호출자의입장이조금다릅니다 파라미터가전달되는규칙은지켜집니다 함수진입점에서스택에 PUSH 합니다 지역변수호출시, 파라미터피호출, 파라미터 첫번째 [RBP+MM] RCX(ECX) RCX=>[RBP+0x100] 두번째 [RBP+NN] RDX(EDX) RDX=>[RBP+0x108] 세번째 [RBP+SS] R8(R8D) R8=>[RBP+0x110] 네번째 [RBP+KK] R9(R9D) R9=>[RBP+0x118] 다섯번째 [RBP+PP] PUSH [RBP+0x120] 여섯번째 [RBP+QQ] PUSH [RBP+0x128] * ( ) 는 32 비트데이터의경우

38 파라미터가전달되는규칙은지켜집니다 RCX, RDX, R8, R9 레지스터값에파라미터값을보관합니다. 이후파라미터는스택에보관됩니다 D = Function(A,B,C); 스택위치 값 TOP... 지역변수영역. TOP+0xF0 TOP+0xF8 TOP+0x100 TOP+0x108 TOP+0x110 TOP+0x118 TOP+0x120 현재 RBP 레지스터 Old RBP 리턴주소 파라미터 A 파라미터 B 파라미터 C 4 번째파라미터 5 번째파라미터 int Function(..) { 하제소프트 RCX, RDX, R8, R9 레지스터값을스택에보관합니다 ( 디버그버젼 ) [RBP+0x100] : A [RBP+0x108] : B [RBP+0x110] : C [RBP+0x118] : 4 th Param [RBP+0x120] : 5 th Param return Z; [RBP+xx] 접근방법은지켜지지않습니다

39 int main() { push rbp push rdi 하제소프트 지역변수는 [RBP+XX] 형태로나타납니다 int Sum; sub lea mov rsp,108h rbp,[rsp+20h] rdi,rsp 두번째파라미터 (2). int 타입이기에 EDX 를사용합니다첫번째파라미터 (1). int 타입이기에 ECX 를사용합니다 Sum = SummaryFunction(1,2); mov edx,2 mov ecx,1 call 00007ff6`ebbd1087 // SummaryFunction mov dword ptr [rbp+4],eax return 0; xor lea pop pop ret 지역변수 (Sum) 에담습니다 eax,eax rsp,[rbp+0e8h] rdi rbp 함수를호출합니다 함수리턴값은 EAX 레지스터에담겨집니다 (int 리턴 ) C 함수를호출할때, 파라미터는순서대로, ECX(RCX), EDX(RDX), R8, R9 에담겨집니다. 이후파라미터는스택에 PUSH 됩니다. ECX(32 비트 ), RCX(64 비트 ) 로구분됩니다

40 X64 CPU 환경에서는피호출함수내에서파라미터접근방법 (RBP+xx) 은지켜지지않습니다 int SummaryFunction(int i, int j) { int c; // 지역변수선언 c = i + j; // 첫번째파라미터 i, 두번째파라미터 j 의값을더해서지역변수 c 에넣습니다 return c; // 지역변수의 c 의값을리턴합니다. 호출자에게되돌려줍니다 int SummaryFunction( int i, int j) { mov dword ptr [rsp+10h],edx mov dword ptr [rsp+8],ecx push rbp push rdi 하제소프트 전달받은첫번째, 두번째파라미터를스택에 PUSH 하는코드를사용합니다 지역변수 (c) 를위한영역이초기화 파라미터변수는 [RBP+1XX] 형태로나타납니다 int c; sub mov mov rsp,0e8h rbp,rsp rdi,rsp EAX 레지스터 <= 두번째파라미터 (j), [RBP+108] c = i + j; return c; mov mov add mov mov mov lea pop pop ret eax,dword ptr [rbp+108h] ecx,dword ptr [rbp+100h] ecx,eax eax,ecx dword ptr [rbp+4],eax eax,dword ptr [rbp+4] rsp,[rbp+0e8h] rdi rbp ECX 레지스터 <= 첫번째파라미터 (i), [RBP+100] ECX += EAX EAX <= ECX 지역변수 (c), [RBP+4] <= EAX EAX 레지스터 <= 지역변수 (c), [RBP+4] 함수의리턴값은 EAX 레지스터 (int 타입 ) 에담겨집니다

41 X64 CPU 환경에서는피호출함수내에서파라미터접근방법 (RBP+xx) 은지켜지지않습니다 하제소프트 2.4 디스어셈블리윤각 x64 CPU에서 C 함수가사용되는문장을디스어셈블리했을때나타나는형태에대해서정리합니다 xxxxxx( ) // 피호출되는함수의내용 { mov [RBP+100], // 첫번째파라미터접근 mov [RBP+108], // 두번째파라미터접근 mov [RBP+KK], // 지역변수접근 { // 함수를호출하는문장을담고있는내용 mov RDX,??? // 두번째파라미터전달 mov RCX,??? // 첫번째파라미터전달 call xxxxxx // 함수호출 mov [RBP+TT], RAX // 리턴값과지역변수접근 함수진입점을거친뒤엔 [RBP+XXX] 형태는파라미터를접근하는행동입니다. 사용되는 X 값을보면, 몇번째파라미터인지를알수있습니다 항상 [RBP+KK] 형태는지역변수를접근하는행동입니다 함수가리턴되면리턴값은항상 RAX(EAX) 레지스터에담겨집니다

42 본강의 PDF 는하제소프트다운로드자료실에서받아보실수있습니다 하제소프트 주식회사하제소프트 ( 강사이봉석

hlogin2

hlogin2 0x02. Stack Corruption off-limit Kernel Stack libc Heap BSS Data Code off-limit Kernel Kernel : OS Stack libc Heap BSS Data Code Stack : libc : Heap : BSS, Data : bss Code : off-limit Kernel Kernel : OS