[Dreamhack] x86 Assembly🤖: Essential Part(1)

x86 Assembly🤖: Essential Part(1)

---

# 서론

- 컴퓨터 속에는 복잡한 논리적 인과관계가 존재하고, 여러 개체가 상호작용하며, 그 세계에서 통용되는 기계어(Machine Code)가 있음

- 해커가 하는 일은 그 거대한 세계의 허점을 공격하여 시스템을 장악하는 것

- 시스템 해커: 컴퓨터의 언어로 작성된 소프트웨어에서 취약점을 발견해야 함

- David Wheeler: EDSAC을 개발하면서 어셈블리 언어(Assembly Language)와 어셈블러(Assembler)라는 것을 고안

- 어셈블러(Assembler): 일종의 통역사, 개발자들이 어셈블리어로 코드를 작성하면 컴퓨터가 이해할 수 있는 기계어로 코드를 치환

  > 어셈블리어가 기계어보다는 인간이 이해하기 쉬웠으므로, 개발자들은 더욱 편리하게 개발을 진행할 있게 됨

  > 소프트웨어를 역분석하는 사람들은 여기에 역밠항을 더해, 기계어를 어셈블리 언어로 번역하는 역어셈블러(Disassembler)를 개발

- 기계어로 구성된 소프트웨어를 역어셈블러에 넣으면, 어셈블리 코드로 번역됨

  > 이로 인해 소프트웨어 분석가들은 소프트웨어를 분석하려고 기계어를 읽을 필요가 없어졌음

 

 

# 어셈블리어와 x86-64

1. 어셈블리 언어 🤖

- 어셈블리 언어: 컴퓨터의 기계어와 치환되는 언어

  > 이는 기계어가 여러 종류라면 어셈블리어도 어려 종류여야 함

- CPU에 사용되는 명령어 집합구조(Instruction Set Architecture, ISA)는 IA-32, x86-64, ARM, MIPS 등 종류가 다양함

 

2. x64 어셈블리 언어

기본 구조 🧱

- x64 어셈블리 언어는 동사에 해당하는 명령어(Operation Code, Opcode)와 목적어에 해당하는 피연산자(Operand)로 구성

x86-64 어셈블리어 문법 구조

 

3. 명령어 🔫

- 인텔의 x64에는 많은 명령어가 존재

 

4. 피연산자 🎯

- 피연산자에는 총 3가지 종류가 있음

• 상수(Immediate Value)
• 레지스터(Register)
• 메모리(Memory)

- 메모리 피연산자는 []으로 둘러싸인 것으로 표현되며, 앞에 크기 지정자(Size Directive) TYPE PTR이 추가될 수 있음

- 타입에는 BYTE, WORD, DWORD, QWORD가 올 수 있으며, 각각 1바이트, 2바이트, 4바이트, 8바이트의 크기를 지정

👇 메모리 피연산자의 예

 

 

# x86-64 어셈블리 명령어

1. 데이터 이동 🚚

- 데이터 이동 명령어는 어떤 값을 레지스터나 메모리에 옮기도록 지시

mov dst, src // src에 들어있는 값을 dst에 대입
mov QWORD PTR[rdi], rsi // rsi의 값을 rdi가 가리키는 주소에 대입
mov QWORD PRT[rdi+8*rcx], rsi // rsi의 값을 rdi+8*rcx가 가리키는 주소에 대입

lea dst, src // src의 유효 주소(Effective Address, EA)를 dst에 저장
lea rsi, [rbx+8*rcx] // rbx+8*rcx를 rsi에 대입

 

예제 📝 데이터 이동

- 레지스터, 메모리 코드가 다음과 같을 때, 아래에서 적절한 값을 채우시오

- mov rax, [rbx+8] // rbx+8위치에 있는 값을 rax에 대입

- lea rax, [rbx+8] // rbx+8의 유효 주소를 rax에 대입

 

2. 산술 연산 ❌

- 산술 연산 명령어는 덧셈, 뺄셈, 곱셈, 나눗셈 연산을 지시

add dst, src // dst에 src의 값을 더함
add eax, 3 // eax += 3
add ax, WORD PTR[rdi] // ax += *(WORD *)rdi

sub dst, src // dst에서 src의 값을 뺌
sub eax, 3 // eax -= 3
sub ax, WORD PTR[rdi] // ax -= *(WORD *)rdi

inc op // op의 값을 1 증가시킴
inc eax // eax += 1

dec op // op의 값을 1 감소시킴
dec eax // eax -= 1

 

예제 📝 덧셈과 뺄셈

- 레지스터, 메모리 및 코드가 다음과 같을 때, 아래에서 적절한 값을 채우시오

 

3. 논리 연산 🤔 - and & or

- 논리 연산 명령어의 연산은 비트 단위로 이루어 짐

and dst, src // dst와 src의 비트가 모두 1이면 1, 아니면 0

 

or dst, src // dst와 src의 비트 중 하나라도 1이면 1, 아니면 0

 

 

예제 📝 논리 연산 - and, or

- 레지스터, 메모리 및 코드가 다음과 같을 때, 아래에서 적절한 값을 채우시오

- f: 1111, 0: 0000임을 사용하여 구하면 쉽게 구할 수 있음

- OR연산 시에는 f와 0으로만 이루어진 값과 연산될 때 함께 연산되어지는 값이 그대로 도출됨

- AND 연산 시 f와 연산되는 부분은 그대로 도출되며 0과 연산되는 부분은 전부 0으로 변경됨

 

4. 논리 연산 🤔 - xor & not

xor dst, src // dst와 src의 비트가 서로 다르면 1, 같으면 0

 

not op // op의 비트 전부 반전

 

 

예제 📝 논리 연산 - xor, not

- 레지스터, 메모리 및 코드가 다음과 같을 때, 아래에서 적절한 값을 채우시오

 

5. 비교 ⚖️

- 비교 연산자는 두 피연산자의 값을 비교하고, 플래그를 설정

cmp op1, op2 // op1과 op2를 비교

cmp는 두 피연산자를 빼서 대소 비교함

연산의 결과는 op1에 대입하지 않음

예를 들어, 서로 같은 두 수를 빼면 결과가 0이 되어 ZF 플래그가 설정되는데,

이후에 CPU는 이 플래그를 보고 두 값이 같았는지 판단할 수 있음

test op1, op2 // op1과 op2를 비교

test는 두 피연산자에 AND 비트 연산을 취함

연산의 결과는 op1에 대입하지 않음

예를 들어, 위의 사진처럼 0이 된 rax를 op1과 op2로 삼아 test를 수행하면,

결과가 0이므로 ZF 플래그가 설정됨

이후에 CPU는 이 플래그를 보고 rax가 0이었는지 판단할 수 있음

→ 플래그를 설정하는 점에서 AND와 차이가 있음

 

6. 분기 🔀

- 분기는 rip를 이동시켜 실행 흐름을 바꿈

- 분기문은 소개되는 것 외에도 굉장히 많은 수가 존재함. 그러나 몇 개만 살펴보면 이름을 통해 직관적으로 의미를 파악할 수 있기 때문에, 이들을 전부 다루기 보다는 앞으로 실제 코드를 분석하면서 감을 익혀나갈 수 있도록 할 것

jmp addr // addr로 rip를 이동시킴

 

je addr // 직전에 비교한 두 피연산자가 같으면 점프 (jump if equal)

 

jg addr // 직전에 비교한 두 연산자 중 전자가 더 크면 점프 (jump if greater)

 

 

 

# 마치며

1. 데이터 이동 연산자

• mov dst, src // src의 값을 dst에 대입
• lea dst, src // src의 유효 주소를 dst에 대입

2. 산술 연산

• and dst, src // src의 값을 dst에 더함
• sub dst, src // src의 값을 dst에서 뺌
• inc op // op의 값을 1 더함
• dec op // op의 값을 1 뺌

3. 논리 연산

• and dst, src // dst와 src가 모두 1이면 1, 아니면 0
• or dst, src // dst와 src 중 한 쪽이라도 1이면 1, 아니면 0
• xor dst, src // dst와 src가 다르면 1, 같으면 0
• not op // op의 비트를 모두 반전

4. 비교

• cmp op1, op2 // op1에서 op2를 빼고 플래그를 설정
• test op1, op2 // op1과 op2에서 AND 연산을 하고, 플래그를 설정

5. 분기

• jmp addr // addr로 rip 이동
• je addr // 직전 비교해서 두 피연산자의 값이 같을 경우 addr로 rip 이동
• jg addr // 직전 비교해서 두 피연산자 중 전자의 값이 더 클 경우 addr로 rip 이동

 

 

# Quiz

- 풀이

1 mov dl, BYTE PTR[rsi+rcx] // BYTE PTR[rsi+rcx]의 값을 dl에 대입
2 xor dl, 0x30 // dl에 있는 값과 0x30을 xor 연산. 첫번째  0x400000(0x67)과 0x30을 xor 연산하면 0x57이라는 값을 얻게 되고 이를 다시 dl에 저장함
3 mov BYTE PTR[rsi+rcx], dl // dl의 값을 BYTE PTR[rsi+rcx]에 대입
4 inc rcx // rcx의 값을 1 증가시킴
5 cmp rcx, 0x19 // rcx의 값을 0x19와 비교
6 jg end // 직전에 비교한 두 연산자 중 전자가 더 크면 프로그램을 종료(rcx가 20이되면 프로그램 종료)
7 jmp 1 // rip를 1로 이동시킴. 즉, 코드를 다시 1부터 실행

 

변환 결과