리버싱 정리 IA -인텔 아키텍쳐의 약자 32는 32비트라는소리 레지스터 : 작은 데이터의 임시저장공간 CPU : 프로그램을 실제로 실행시키는 공간(집) 산술계산,수치비교,데이터전달등 다양한 일을 수행 알아두면 좋은용어 | Source 는 출발지(or원본의값??) 이며 Destination 은 목적지(최종적으로 연산해야할값)이다 operand는 피연산자를뜻한다. 범용레지스터 ----------------------------------------------------------------------------------------------------- 범용 레지스터 연산결과를 받을수도있으며 연산에사용되어질수도있는 레지스터 자유롭게사용이가능 EAX 산술,논리연산의 중심이 되는 레지스터 EBX 간접번지 지정시 사용됨 ECX 루프와 같은 명령의 반복수행이 필요로 할때 반복 횟수지정에 주로사용 EDX 간전 번지 지정에 사용되며 곱셉 나눗셈을 할때에는 보조 Accumulator로 사용되어지기도함 포인터 레지스터 ESP 가장 최근에 스택에 들어온 데이터를 가르킴 EBP 스택 프레임을 사용할경우 현재 실행중인 함수를 호출한 함수가 사용하는 스택프래임의 바닥을가리킴 인덱스레지스터 다른 범용레지스터오 마찬가지로 연산과 간접 번지 지정에 사용됨 ESI 복사혹은 비교를 하는데 사용되는 Souree문자열을 나타냄 EDI 복사혹은 비교를 하는데 사용되는 Detination문자열을 나타냄 ------------------------------------------------------------------------------------------------------ 명령포인터 EIP 다음에 실행할 명령이 들어있는 메모리의 번지를 가짐 -------------------------------------------------------------------------------- 세그먼트 레지스터 CS 실행가능한 명령어가 존재하는 세그먼트의 오프셋이 저장된다 DS 프로그램에서 사용되는 데이터가 존재하는 세그먼트의 오프셋이 저장된다 SS 스택이 존재하는 세그먼트의 오프셋이저장된다 ----------------------------------------------------------------------------- 플래그레지스터 CF 부호업는 연산결과가 용량보다 클때 세트(1)된다 ZF 연산결과가0일떄 세트(1)된다. 연산결과 0이 아닐경우 해제(0)된다. OF 부호있는 연산결과가 용량보다 클때 세트(1)된다. SF 연산결과가 음수가 되었을때 세트(1)된다.연산결과가 양수일떄 해제(0)된다. DF 문자열 처리에서 연속되는 문자열의 처리방향에 따라 세트된다. -------------------------------------------------------------------------------------- 상위레지스터는 H가 붇으며 하위는 L 이붇는다 ex> AL ,AH 데이터 타입 바이트 8비트 워드 16비트 드워드 32비트정수 F워드48비트정수 Q워드 64비트정수 ------------------------------------------------------------------------------------------------- 명령어 XXX(명령어) Destination ,Source ;;헷갈리지말자 MOV 데이터 복사 오른쪽>왼쪽 전달 MOVS 오른쪽에서 왼쪽 복사 S는 스트링 MOVSB 바이트단위 MOVSW 워드단위 MOVSD 드워드단위 MOVSX 부호있는 그대로유지하며 확장 MOVZX 확장을 하되 남은 크기는 0으로체운다 POP ESP레지스터가 가르키고 있는 위치의 스택공간에서 4바이트만큼을 Destination피연산자에 복사하고 ESP레지스터의값에 4를 더한다. PUSH 스택에 데이터를 저장 ESP의 값이 4만큼 줄어들고 이이치에 새로운 값이 채워진다. AND Destination 과 Source의 피연산자의 각 비트가 AND연산된다.(AND 연산은 각 비트가1일경우만 세트된다) OR Destination 과 Source의 피연산자의 각 비트가 OR연산된다. (OR연산은 각비트가 0이면 결과는 0이고 둘중하나면 1이면 1이된다) XOR Destination 과 Source의 피연산자의 각비트가 XOR연산된다(XOR은 각비트가 서로다를때 세트된다.) NOT Destination 과 Source의 피연산자의 각 비트가 NOT연산된다.(NOT연산은 각비트가 반대일경우 세트된다) INC 피연산자에 1을 더한다 DEC 피연산자에 1을 뺸다 ADD 우측의 값을 좌측에 더한후 좌측의값에 저장한다 SUB 좌측에서 우측값을 뺀후 좌측값에 저장한다 MUL 부호없는 al ax eax의 값을 피연산자와 곱한다. IMUL 부호잇는 al ax eax의 값을 피연산자와 곱한다 DIV 8 16 32비트 부호없는 정수의 나눗셈 TEST 쉽게 초기화 시켜주는 명령어정도로만 외우자 PTR 피연산자의 크기를 재설정한다. OFFSET 세그먼트의 시작으로부터 변수가 위치한 거리까지의 상대적 거리를 리턴한다. LEA Source피연산자의 유효주소를 계산하여 Destination피연산자에 복사한다. REP ECX레지스터를 카운터로 사용해서 문자열 관련 명령을 ECX>0인동안 반복한다. JMP 피연산자가 가르키는 코드로점프뛰어서 실행 한다고생각하면된다. CALL 함수호출시 사용된다. CMP 두 연산자의 값일 비교하는 작업을 한다. Destnition 피연산자에서 source피연산자를일시적으로뺸다. 조건 점프명령어를 쓸떄 쓰여진다. 꼭 알아둬야할 조건 명령어 E,N,Z |이퀄(=) 낫(다르거나) 제로(비교값이0) G,A G는 부호있는 A는 부호없는 > 크다 L,B L은 부호있는 B는 부호없는 <작다 NOP 아무일도 하지 않는 명령어이다. Jmp : 특정한 메모리 오프셋으로 이동할떄 쓰인다. ex:) Jmp dword ptr[401F47] :메모리 오프셋 401F47 로 점프한다. 조건부 점프: Cmp나 Test 같은 명령어의 결과에 따라점프한다. Je : Cmp나 Test 의 결과가 같다면 점프 Jne : Cmp나 Text 의 결과가 같지 않다면 점프 Jz : 왼쪽 인자의 값이 0 이라면 점프 Jnz : 왼쪽 인자의 값이 0 이 아니라면 점프 Jl : 왼쪽 인자의 값이 오른쪽 인자의 값보다 작으면 점프(부호있는) Jnl : 왼쪽 인자의 값이 오른쪽 인자의 값보다 작지 않으면(크거나 같으면) 점프 (부호있는) Jb : 왼쪽 인자의 값이 오른쪽 인자의 값보다 작으면 점프(부호없는) Jnb : 왼쪽 인자의 값이 오른쪽 인자의 값보다 작지 않으면(크거나 같으면) 점프 (부호없는) Jg : 왼쪽 인자의 값이 오른쪽 인자의 값보다 크면 점프 Jng : 왼쪽 인자의 값이 오른쪽 인자의 값보다 크지 않으면 (작거나 같으면) 점프 Jle : 왼쪽 인자의 값이 오른쪽 인자의 값보다 작거나 같으면점프 (부호있는) Jge : 왼쪽 인자의 값이 오른쪽 인자의 값보다 크거나 같으면 점프 ----------------------------------------------------------------------------------------------------------------------------------- 데이터 저장방식 : little edian과 big enian DATA : 0x01020304 가있다치자. 리틀방식은낮은주소부터 04030201높은주소 로 저장이되며 빅은 낮은주소01020304로높은주소로 저장된다 LIFO방식 (라스트인 퍼스트아웃 ) 마지막에들어온게 먼저 나간다. 스택이란 : 임시 데이터백업 지역변수 저장 (주목적) 스택 프레임 : 함수들이 가지는 스택공간 함수 호출 규약 정리 cdecl 오른쪽>왼쪽 스택 스택정리는 콜러 stdcall 오른쪽>왼쪽 스택 스택정리는 콜리 Fastcall오른쪽>왼쪽 스택,ECX,EDX 스택정리는 콜리 콜러는 함수 호출한곳 콜리는 함수호출 당하는곳 콜러 세이브드 레지스터 EAX ECX EDX 콜리 세이브드 레지스터 EBX ESI EDI ----------------------------------------------------------------------------------------------------------------------------------------