X86 어셈블리 정리

dreamhack을 통해 공부한 내용을 정리한 포스트입니다.

 

피연산자 종류 

- 상수

- 레지스터

- 메모리 (BYTE(1), WORD(2), DWORD(4), QWORD(8))

 

데이터의 이동 

- MOV a, b => b에 있는 값을 a에 대입 

- LEA a,b => b의 주소값을 a에 대입 

 

EX) 

mov eax, dword ptr ss:[ebp-4]  의 경우에는 [ebp-4]가 하나의 주소로 해당 주소의 값을 eax에 대입한다. 

lea eax, dword ptr ss:[ebp-4] 의 경우에는 mov eax, ebp 후에 sub eax,4 를 하는 것과 같다. 

 

+) [ ] 기호는 주소의 참조값을 의미하며 [ ] 안에서 주소의 사칙 연산이 이루어진다.  

 

산술연산  

- add a,b => a= a+b

- sub a,b => a = a-b

- inc a,b => a = a+1

- dec a,b => a = a-1 

 

논리연산 

- and a,b => a와 b 모두 비트가 1이면 1 

- or a,b => 둘중에 하나라도 1이면  1 

- xor a,b => 둘이 달라야 1 

- not a,b => 비트 반전 

 

비교

- cmp a,b  => 두 피연산자를 빼서 대소 비교 (결과는 a에 저장되지 않으며 설정된 플래그를 보고 결과 판단)

- test a,b => 두 피연산자 AND 연산 ( 마찬가지로 결과는 a에 저장되지 않으며 설정된 플래그를 보고 결과 판단) 

 

분기

- jmp => 해당 주소로 점프 -> 전으로 돌아갈 수 없음 아예 이동. 

- je => jump if equal (직전에 cmp 등으로 비교한 두 피연산자의 값이 같으면 점프!)

- jg => 직전에 비교한 두 피연산자 중 전자가 더 크면 점프 

 

스택 

- push val => val을 스택 최상단에 쌓음 (rsp를 8만큼 뺌 = 위에 쌓음)

- pop reg => 스택 최상단의 값을 꺼내서 reg에 대입 (rsp 8 더함 = 아래로 내려감)

 

프로시저

- 특정 기능을 수행하는 코드 조각 

- call : 프로시저를 부르는 행위 

- return : 프로시저에서 돌아오는 것 

( call 다음의 명령어 주소를 스택에 저장하고 rip는 해당 주소를 가리키게 해서 원래의 실행흐름으로 돌아온다. )

( rip는 프로그램 카운터! )

 

- call addr : 프로시저 호출 (push return_address / jmp addr )

- leave  : 스택 프레임 정리 (mov esp,ebp / pop ebp )

- ret addr ( pop rip )

 

시스템 콜(System call)이란 ?

-> 유저모드에서 커널모드의 시스템 소프트웨어에게 어떠한 동작을 요청할 때 사용 ( syscall ) 

ex) cat flag ( 파일 읽기 )

요청: rax

인자 순서: rdi → rsi → rdx → rcx → r8 → r9 → stack

 

[Dream Hack Assembly Quiz -1 ]

end로 점프하면 프로그램이 종료된다고 가정하자. 프로그램이 종료됐을 때, 0x400000 부터 0x400019까지의 데이터를 대응되는 아스키 문자로 변환하면 어느 문자열이 나오는가?

[Register]
rcx = 0
rdx = 0
rsi = 0x400000
=======================
[Memory]
0x400000 | 0x67 0x55 0x5c 0x53 0x5f 0x5d 0x55 0x10
0x400008 | 0x44 0x5f 0x10 0x51 0x43 0x43 0x55 0x5d
0x400010 | 0x52 0x5c 0x49 0x10 0x47 0x5f 0x42 0x5c
0x400018 | 0x54 0x11 0x00 0x00 0x00 0x00 0x00 0x00
=======================
[code]
1: mov dl, BYTE PTR[rsi+rcx]
2: xor dl, 0x30
3: mov BYTE PTR[rsi+rcx], dl
4: inc rcx
5: cmp rcx, 0x19
6: jg end
7: jmp 1

 

x86 어셈블리의 경우 리틀엔디안 방식으로 메모리 저장하는듯..!(---> 주소 증가방향)

 

[풀이]

1. BYTE PTR 의 경우 1바이트를 지정함. dl 레지스터 또한 마찬가지로 하위 1바이트를 저장하는 레지스터 

rsi+rcx = 0x400000 + 0 의 주소 참조값은 0x67 0x55 0x5c 0x53 0x5f 0x5d 0x55 0x10 이므로

dl = 0x67임 

2. dl = 0x67 XOR 0x30 = 0x57 

3. 0x400000 자리의 하위 1바이트를 dl값으로 넣어줌 (0x57)

4. rcx =1 로 증가 

5. rcx와 0x19 비교 

6. rcx가 더 크지 않으므로 1로 점프

아스키코드 0x57= 'W'

=====================================================================

1.  0x400000+1 의 주소 참조값 1바이트 0x55를 dl에 대입

2. dl = 0x55 XOR 0x30 = 0x65 

.. 

이걸 jg 를 통과할때까지 반복한다!!

정답 : Welcome to assembly world!

 

[Dream Hack Assembly Quiz -2 ]

다음 어셈블리 코드를 실행했을 때 출력되는 결과로 올바른 것은?

[Code]
main:
    push rbp // 스택에 rbp 넣음 
    mov rbp, rsp // rbp에 rsp 대입 (스택 프레임 생성) 
    mov esi, 0xf // esi = 0xf(15) 
    mov rdi, 0x400500 // rdi = 0x40050 
    call 0x400497 <write_n> // 함수 호출 
    mov eax, 0x0 // 리턴값 0 
    pop rbp // 에필로그
    ret // 에필로그 
    
write_n:
    push rbp // 스택에 rbp 넣음 
    mov rbp, rsp // 함수 스택 프레임 생성 
    mov QWORD PTR [rbp-0x8],rdi // QWOD PTR [rbp-0x8] = 0x40050 
    mov DWORD PTR [rbp-0xc],esi // DWORD PTR [rbp-0xc] = 0xf
    xor rdx, rdx // rdx = 0
    mov edx, DWORD PTR [rbp-0xc] // edx = 0xf
    mov rsi,QWORD PTR [rbp-0x8] // rsi = 0x40050 
    mov rdi, 0x1 // rdi = 1
    mov rax, 0x1 // rax = 1
    syscall // syscall 호출 (rax = 1이므로 write(1,0x40050,15) 호출) 
    pop rbp // 함수 에필로그
    ret // 함수 에필로그 -> 즉 이전 스택 프레임으로의 복귀(함수 끝) 
    
==================================    
[Memory]
0x400500 | 0x3037207964343372
0x400508 | 0x003f367562336420

위와 같이 주석을 달아 해석을 해보았다. 

write함수의 각 인자는 (출력 스트림, 출력 버퍼, 출력 길이)를 나타냄 

즉 1은 stdout이고 15길이의 0x400500 메모리 주소에 들어있는 0x3037207964343372를 아스키코드를 이용해 문자로 변환하니 정답이 나왔다.!! 

정답 :  r34dy 70 d3bu6?