티스토리

작고 소중한 해커

검색하기

블로그 홈

작고 소중한 해커

eggsmong.tistory.com/m

"><script>prompt(document.cookie)</script>

구독자: 1

방명록 방문하기

주요 글 목록

가상주소공간의 스택메모리 - 호출된 함수의 복귀주소와 분석 복귀주소 개념을 이해하기 위한 선행 개념스택: LIFO 구조의 자료구조로 함수 호출 시 로컬 변수와 복귀 주소를 저장함스택 프레임: 함수 호출마다 생성되는 메모리 블록, 반환되면 프레임이 제거됨프로그램 카운터: 다음에 실행될 명령어의 주소를 저장하는 레지스터스택 포인터: 스택의 가장 마지막, 위쪽 데이터 위치를 나타내는 포인터프레임 포인터: 스택 프레임의 시작 위치를 가리키는 포인터 호출하는 호출자 Caller 함수는 호출대상 Callee 함수를 호출할 때 되돌아올 주소값을 스택에 백업함1. 복귀주소 Return Address란?함수가 끝난 후 다시 돌아갈 주소를 복귀주소라고 한다. 함수명() 명령이 호출되고 실행될 때 복귀주소가 스택에 저장되고 함수 실행이 끝나면 원래 프로그램으로 돌아가야 함. 인텔 .. 공감수 0 댓글수 0 2025. 3. 3.
가상주소공간 VAS의 스택 메모리 IA32 스택 프레임 스택프레임 : 함수가 사용하는 스택의 영역으로 호출된 함수의 지역변수, 매개변수, 반환 주소 등이 있다함수 호출마다 새로운 스택 프레임 생성과 제거의 과정이 이루어짐 - EBP: 함수의 스택 프레임 시작주소 /Base Pointer → 고정 - ESP: 함수의 스택 프레임 끝 주소 /Stack Pointer → 변함 main 함수가 실행되면 main 함수의 스택 프레임, 다음에 A()가 실행되면 A함수의 스택 프레임이 생성되는 구조, 함수 실행 끝나면 프레임도 무효화됨(삭제는 X) 프로세스 흐름이 main에서 A함수로 넘어가면 EBP 프로세스 역시 A 함수의 시작 부분으로 이동 스택 프레임 생성과 종료 함수가 실행된 직후 함수에 의해 스택 프레임이 생성됨 함수 시작 직후 스택 프레임을 시작하는 코.. 공감수 0 댓글수 0 2025. 2. 28.
리버싱 :: 가상주소공간 VAS 스택메모리 스택메모리스택에는 함수에게 전달된 파라미터, 지역변수, 반환주소 등이 보관됨 탑포인터가 마지막으로 저장된 데이터를 가리키고, 낮은 방향으로 자라는 full descendung stack 방식 PUSH→ 탑포인터가 올라가고 POP→ 탑포인터 내려감 2개의 오퍼레이션 PUSH, POP 한 개의 탑포인터 ESP로 운용됨 Call Stack현재 실행 중인 서브루틴에 관한 정보를 저장하는 스택 자료구조스택 자료구조와 다르게 중간에 있는 데이터 바로 사용가능 full descending 방식 Full Stack vs Empty Stack push 명령어를 통해 마지막에 들어온 데이터가 TOP 포인터면 Full stack그다음 위치를 가리키면 Empty stack Ascending/Descending Stack 메모.. 공감수 0 댓글수 0 2025. 2. 28.
IA32 어셈블리 주요 명령어 이론과 실습 명령어 MOV 두 연산자의 크기가 동일해야 한다 Operand 대상은 메모리 공간, 데이터, 레지스터 가능source 피연산자 값을 destination 피연산자로 복사mov DWORD [0x00000100], 0Ah: A=10 이라는 값을 []안에 있는 메모리 주소로 복사한다 mov eax, DWORD [0x00000100]: `[0x00000100]` 안에 있는 값을 eax로 복사한다 [대괄호]가 나오면 주소값으로 생각하기LEASource 피연산자 참조 메모리 주소를 Destination 피연산자 저장 ⇒ 주소 값을 저장 lea eax, [edx+4] edx = 8: edx+8 =12가 eax에 저장된다 ADDSource 피연산자를 동일한 크기의 Destination 피연산자에 더함 Source .. 공감수 0 댓글수 0 2025. 2. 25.
CPU 레지스터와 주요 명령어 - IA32 주요 레지스터 레지스터: cpu내에 존재하는 작은 크기의 다목적 저장공간, 물리적으로 가깝기 때문에 CPU가 직접 접근할 수 있고 속도가 빠름. 산술, 논리, 반복, 스택메모리 등 정보 프로그램 실행에 필요한 정보(메모리 주소, 데이터 등)이 있음 반면 메모리(RAM ..)는 더 많은 데이터를 저장할 수 있음 ALU가 계산기라면 레지스터는 메모장, 연습 범용 레지스터(General purpose register)산술/논리 연산에 사용되는 피연산자 정보, 주소 계산을 위한 피연산자 정보, 메모리 포인터 정보를 담고있는 레지스터비트에 따라서 레지스터 명칭도 조금씩 달라진다 32 bits : EAX EBX ECX EDX 16 bits : AX BX CX DX 8 bits : AH AL BH BL CH CL DH DL EA.. 공감수 0 댓글수 0 2025. 2. 24.
PE 파일의 자료구조 임포트 테이블 분석 실습 introEXE파일은 혼자 일할 수 X → DLL에 정의된 API을 호출해야 함→ PE-COFF 파일에는 참조해야 하는 DLL, API 관련 정보들을 구조화하는데 이를 임포트 테이블이라고 함임포트테이블에 바인딩 때문에 저장매체에서와 메모리에서 실행될 때 내용이 약간 달라진다 CFF Explorer를 사용해서 임포트 테이블의 위치를 살펴보자CFF ExplorerOptional Header 안에 위치한 데이터 디렉토리에 export/import/TLS 에 관한 정보가 있고 해당 정보들이 존재하는 포인터와 사이즈 정보가 있다 Nt Header\Optional Header\Data Directories에 들어가니 export\import 디렉토리 정보가 뜬다00007000은 절대주소가 아닌 오프셋이므로 파일의 .. 공감수 0 댓글수 0 2025. 2. 24.
PE 파일의 주요 자료구조 분석 섹션 테이블 실습 CFF Explorer 섹션테이블배열처럼 동일한 자료구조 나열섹션이 n개면 n개의 IMAGE_SECTION_HEADER가 있음IMAGE_SECTION_HEADER가 모여서 섹션 테이블의 구조각 섹션의 속성을 확인할 수 있음프로그램 실행 시 로더에서 PE헤더를 통해 섹션을 먼저 파악함 IMAGE_SECTION_HEADER의 구성요소 typedef struct _IMAGE_SECTION_HEADER { BYTE Name[IMAGE_SIZEOF_SHORT_NAME]; union { DWORD PhysicalAddress; DWORD VirtualSize; } Misc; DWORD VirtualAddress; DWORD SizeOfRawData; DWORD PointerToRawData; DWORD Point.. 공감수 0 댓글수 0 2025. 2. 21.
PE 파일의 자료구조 헤더 분석 실습 Stud_PE, x32 dbg Stud_PE을 사용해서 IMAGE_NT_HEADERS 확인하기Stud_PE은 직관적이고 특정 구조 부분을 선택하면 그 부분을 하이라이팅 해준다이전 이론 포스팅에서 다뤘던 헤더 부분을 살펴보자 https://eggsmong.tistory.com/46 윈도우 실행파일 PE파일의 구조와 PE 헤더를 알아보자PE파일이란?Window에서 사용되는 파일 형식으로 exe, dll, sys 등운영체제에 의해 메모리에 로드되고 실행되는데 필요한 주요 데이터들이 포함되어 있다가상 메모리에 매핑된 후에도 실행 전후 레이eggsmong.tistory.com Stud_PE에 예제 파일인 “sample_x32.exe”를 로드하고 IMAGE_NT_HEADER를 찾아보자→ Basic HEADERS tree view 부분 클릭 .. 공감수 0 댓글수 0 2025. 2. 21.
윈도우 실행파일 PE파일의 구조와 PE 헤더를 알아보자 PE파일이란?Window에서 사용되는 파일 형식으로 exe, dll, sys 등운영체제에 의해 메모리에 로드되고 실행되는데 필요한 주요 데이터들이 포함되어 있다가상 메모리에 매핑된 후에도 실행 전후 레이아웃이 거의 변하지 않는 특성 PE파일의 구조 PE파일은 헤더와 여러 섹션들로 이루어져 있고모든 헤더들은 구조체 Struct 자료구조로 되어있음 헤더에는DOS HeaderDOS stubPE Header(Image_NT_Header)Section Table 섹션에는.data: 전역변수 저장.rdata: 읽기 전용 데이터 섹션.rsrc: 아이콘, 이미지 등의 리소스.bss: 초기화되지 않은 전역변수.text: 컴파일된 기계어 코드가 있음등의 다양한 섹션이 있고 개수에 제한은 없다고 한다각 헤더와 섹션들은 밑에.. 공감수 0 댓글수 0 2025. 2. 19.
프로세스의 가상주소공간 VAS 검증을 위한 실습 x64dbg 지난 리버싱 포스팅에서 가상주소공간의 이론에 대해 알아보았고,오늘은 실습을 통해 가상주소공간의 실제 구조가 어떻게 구성되어 있는지 알아보자 사용할 툴은 x64dbg계산기 프로그램 calc.exe을 로드해 보자(경로는 C:\Windows\System32\calc.exe) 프로세스의 부모자식 관계를 파악하기 위해서는 process explorer64/procexp64.exe를 사용할 수 있다 위에서 x64dbg안에 calc.exe를 실행했기 때문에procexp64안에서도 x64dbg.exe의 하위에서 calc.exe가 위치해 있는 것이 확인된다. x64dbg의 메모리탭 Memory Tab에 들어가서 calc.exe가 로드된 주소,DLL 파일 로드 주소, 권한 등을 확인할 수 있음→ calc.ex.. 공감수 0 댓글수 0 2025. 2. 18.
운영체제 프로세스 가상주소공간 Virtual Adress Space 물리메모리 사용을 할 때 발생하는 문제1. 메모리 부족아키텍쳐에서 표현하고자 하는 값을 위해 필요한 만큼 물리 메모리가 부족할 수 있음물리 메모리의 크기를 넘어서는 주소 값으로 접근하면 크래시 발생 가능성 있음 2. 프로그램 간 사용 메모리 접근 통제 문제프로그램들이 동일한 물리 메모리 주소에 접근하는 경우 데이터 오염, 정보 노출, 다른 프로세스가 있는 공간에 접근하면 보안 문제도 있음 3. 단편화로 인한 메모리 낭비 문제실행 중인 프로그램/프로세스가 동일한 메모리 공간을 사용할 수 있어 효율적인 사용 X 윈도우 운영체제 프로세스의 가상주소공간 프로세스가 실행되면 바로 물리메모리에 올라가는 게 아니라,매핑테이블에서 가상주소공간에 할당한 후에 물리메모리를 할당한다→ 프로세스는 물리 메모리 주소를 직접.. 공감수 0 댓글수 0 2025. 2. 17.
윈도우 실행파일의 생성과 실행과정 개념 이해를 위한 용어 정리DLL:동적 링크 라이브러리, 여러 프로그램에서 동시에 사용할 수 있는 코드와 데이터를 포함하는 라이브러리 폰노이만 구조:실행 파일이 평소에는 스토리지에, 실행 시 메모리에 매핑되고 CPU에 의해 실행됨. cpu는 기계어만 이해할 수 있다 윈도우 실행파일 생성 및 실행과정 위에서 말했듯이 실행파일은 원래는 스토리지에 저장되어 있다가 실행이 시작되면메모리에 로드되는 단계를 거치는데 소스코드 파일→오브젝트 파일→실행파일 순으로 만들어진다그리고 메모리상에 매핑된 exe(혹은 dll) 파일의 코드를 실행하는 것은 CPU 전처리기: 입력 데이터를 처리하여 다른 프로그램에 대한 입력으로서 사용되는 출력물을 만들어내는 프로그램컴파일러: 고급언어를 직접 기계어 코드로 변환, 문법 검사.. 공감수 0 댓글수 0 2025. 2. 17.
[리버싱] Assembly 어셈블리어 드림핵 시스템해킹/리버스 엔지니어링 공부하면서 요약함1000101과 같은 기계어는 사람이 읽고 이해하기 매우 어려운 반면에어셈블리어는 비교적 사람이 이해할 수 있으면서도 기계어와 치환되기 때문에 꼭 필요함! 어셈블리어 문법 mov eax, 3 mov는 대입을 뜻하는 명령어, eax와 3은 피연산자 Operand로eax에 3을 대입하라는 뜻이다 피연산자에는 상수, 레지스터, 메모리 3가지가 가능하다메모리 피연산자는 BYTE 1바이트, WORD 바이트, DWORD 4바이트, QWORD 8바이트로 나뉨 어셈블리어 주요 명령어명령어기능MOV, LEA데이터 전송, 이동ADD, SUB덧셈, 뺄셈CMP두 값을 비교하고 플래그 설정JMP, JE, JNE무조건 점프, 조건부 점프PUSH, POP스택에 데이터 푸시 및 .. 공감수 0 댓글수 0 2025. 2. 14.
[드림핵] 실습 환경 구축/ 컴퓨터 구조/ 리눅스 메모리 구조 시스템해킹 실습환경 구축 vmware workstation에 이미 칼리 리눅스와 우분투가 설치되어 있지만WSL2(Windows Subsystem For Linux 2) 이라는 새로운 환경을 구축해보자 window+R -> winver 로 윈도우 버전 확인 파워쉘에서 다음의 명령어 입력 dism.exe /online /enable-feature /featurename:Microsoft-Windows-Subsystem-Linux /all /norestart dism.exe /online /enable-feature /featurename:VirtualMachinePlatform /all /norestart 재부팅 후 다음 명령어 실행wsl --set-default-version 2 이후 WSL2 .. 공감수 2 댓글수 1 2025. 1. 19.

문의안내

티스토리
로그인
고객센터

티스토리는 카카오에서 사랑을 담아 만듭니다.