[Dreamhack] x86 Assembly🤖: Essential Part(2)

x86 Assembly🤖: Essential Part(2)

---

# 서론

- 운영체제의 핵심 자료구조인 스택, C언어의 함수에 대응되는 프로시저, 그리고 시스템 해킹의 관점에서 매우 중요한 시스템콜과 관련된 어셈블리를 배움

1. 스택: push, pop
2. 프로시저: call, leave, ret
3. 시스템콜: syscall

 

 

# x86-64 어셈블리 명령어

1. Opcode: 스택 🧱

- x64 아키텍처에서는 다음의 명령어로 스택을 조작할 수 있음

push val // val을 스택 최상단에 쌓음

 

스택은 확장 될 때 기존 주소보다 낮은 주소로 확장되기 때문에 아래로 자람

pop reg // 스택 최상단의 값을 꺼내서 reg에 대입

 

 

2. Opcode: 프로시저 📜

- 프로시저(Procedure): 특정 기능을 수행하는 코드 조각

- 프로시저를 사용하면 반복되는 연산을 프로시저 호출로 대체할 수 있어서 전체 코드의 크기를 줄일 수 있으며, 기능별로 코드 조각에 이름을 붙일 수 있게 되어 코드의 가독성을 크게 높일 수 있음

- call(호출): 프로시저를 부르는 행위

- return(반환): 프로시저에서 돌아오는 것

- 프로시저를 호출할 때는 프로시저를 실행하고 나서 원래의 실행 흐름으로 돌아와야 하므로, call 다음의 명령어 주소(return address)를 스택에 저장하고 프로시저로 rip를 이동

- x64어셈블리언어에는 프로시저의 호출과 반환을 위한 call, leave, ret 명령어가 있음

call addr // addr에 위치한 프로시저 호출

 

leave // 스택프레임 정리하며 leave 명령어는 다음과 같은 수행을 포함함

 

💡 스택 프레임이란?

- 스택은 함수별로 자신의 지역변수 또는 연산과정에서 부차적으로 생겨나는 임시 값들을 저장하는 영역

- 만약 이 스택 영역을 아무런 구분 없이 사용하게 된다면, 서로 다른 두 함수가 같은 메모리 영역을 사용할 수 있게 됨

  ex) A라는 함수가 B라는 함수를 호출하는데, 이 둘이 같은 스택 영역을 사용한다면, B에서 A의 지역 변수를 모두 오염시킬 수 있음

  이 경우, B에서 반환한 뒤 A는 정상적인 연산을 수행할 수 없음

- 따라서 함수별로 서로가 사용하는 스택의 영역을 명확히 구분하기 위해 스택프레임이 사용됨

- 우분투 18.04에서 함수는 호출될 때 자신의 스택프레임을 만들고, 반환할 때 이를 정리함

ret // return address로의 반환

 

 

스택 프레임의 할당과 해제

 

3. Opcode: 시스템 콜 📟

- 윈도우, 리눅스, 맥 등의 현대 운영체제는 컴퓨터 자원의 호율적인 사용을 위해, 그리고 사용자에게 편리한 경험을 제공하기 위해, 내부적으로 매우 복잡한 동작을 함

- 운영체제는 연결된 모든 하드웨어 및 소프트웨어에 접근할 수 있으며, 이들을 제어할 수도 있음

- 해킹으로부터 이 막강한 권한을 보호하기 위해 커널 모드와 유저 모드로 권한을 나눔

- 커널 모드: 운영체제가 전체 시스템을 제어하기 위해 시스템 소프트웨어에 부여하는 권한

  > 파일 시스템, 입력/출력, 네트워크 통신, 메모리 관리 등 모든 저수준의 작업은 사용자 모르게 커널 모드에서 진행됨

  > 커널 모드에서는 시스템의 모든 부분을 제어할 수 있기 때문에, 해커가 커널 모드까지 진입하게 되면 시스템은 거의 무방비 상태가 됨

- 유저 모드: 운영체제가 사용자에게 부여하는 권한

  > 브라우저를 이용해 드림핵을 보거나, 유튜브를 시청하는 것, 게임을 하고 프로그래밍을 하는 것 등은 모두 유저 모드에서 이루어짐

  > 리눅스에서 루트 권한으로 사용자를 추가하고, 패키지를 내려 받는 행위도 마찬가지임

  > 유저 모드에서는 해킹이 발생해도, 해커가 유저 모드의 권한까지 밖에 획득하지 못하기 때문에 해커로부터 커널의 막강한

  권한을 보호할 수 있음

- 시스템 콜(system call, syscall): 유저 모드에서 커널 모드의 시스템 소프트웨어에게 어떤 동작을 요청하기 위해 사용됨

  > 소프트웨어의 대부분은 커널의 도움이 필요함

  > 예를 들어, 사용자가 cat flag를 실행하면, cat은 flag라는 파일을 읽어서 사용자의 화면에 출력해 줘야 함

  > 그런데 flag는 파일 시스템에 존재하므로 이를 읽으려면 파일 시스템에 접근할 수 있어야 함

  > 유저 모드에서는 이를 직접할 수 없으므로 커널이 도움을 주어야 함

  > 여기서, 도움이 필요하다는 요청을 시스템 콜이라고 함

  > 유저 모드의 소프트웨어가 필요한 도움을 요청하면, 커널이 요청한 동작을 수행하여 유저에게 결과를 반환함

- x64아키텍처에는 시스템콜을 위해 syscall 명령어가 있음

리눅스 계층

- 시스템 콜은 함수임

  > 필요한 기능과 인자에 대한 정보를 레지스터로 전달하면, 커널이 이를 읽어서 요청을 처리

- 리눅스에서는 x64아키텍처에서 rax로 무슨 요청인지 나타내고, 아래의 순서대로 필요한 인자를 전달

 

x64 syscall 테이블

 

 

# Epilogue

- 코스 요약 🗒️

1. 스택

• push val: rsp를 8만큼 빼고, 스택의 최상단에 val을 쌓음
• pop reg: 스택 최상단의 값을 reg에 넣고, rsp를 8만큼 더함

2. 프로시저

• call addr: addr의 프로시저를 호출함
• leave: 스택 프레임을 정리
• ret: 호출자의 실행 흐름으로 돌아감

3. 시스템 콜

• syscall: 커널에게 필요한 동작을 요청

 

 

# Quiz

- 풀이

메모리를 읽어서 답을 도출하면 리틀엔디안 방식으로 읽었을 때 r34dy 70 d3bu6?가 나옴