Reversing Study - day 3(스택 프레임)

Security/Reversing

Reversing Study - day 3(스택 프레임)

bonggang 2019. 11. 27. 22:51

* 본 문서는 리버싱 핵심 원리책(일명 나뭇잎 책)과 인터넷 자료들을 바탕으로 학습한 기록입니다.

* 개인의 학습을 위한 자료이기 때문에 정확하지 않은 정보가 포함되어 있을 수 있습니다.

스택 프레임

메모리의 스택 영역은 함수 호출 시 지역 변수와 매개 변수가 저장되는 영역으로 함수 호출이 완료되면 함께 소멸한다. 함수가 호출되면 스택에는 함수의 매개변수, 지역변수 반환 주소 값 등이 저장되는데 이렇게 차례대로 저장되는 함수의 호출 정보를 스택 프레임(stack frame)이라고 한다.

- 참고: http://tcpschool.com/c/c_memory_stackframe

코딩교육 티씨피스쿨

4차산업혁명, 코딩교육, 소프트웨어교육, 코딩기초, SW코딩, 기초코딩부터 자바 파이썬 등

tcpschool.com

나는 스택 프레임을 함수가 호출되었을 때 그 함수가 가지는 스택 공간으로 이해했다.(이것은 개인적인 생각)

esp 레지스터는 베이스 포인터 역할을 하는데 프로그램 안에서 계속 변경되기 때문에 스택에 저장된 변수, 파라미터에 접근하기 어렵다. 그렇기 때문에 함수 시작 시 esp 값을 ebp에 저장 후 함수 내에서 유지한다면 ebp를 기준으로 변수, 파라미터, 복귀 주소에 접근이 가능하다.

스택 프레임 구조

push ebp //함수 시작, ebp 사용 전 초기 값을 스택에 저장
mov ebp, esp // esp 값을 ebp에 저장

...

mov esp, ebp //ebp 값을 esp에 저장, esp를 함수 시작 값으로 복원
pop ebp //리턴되기 전 저장해뒀던 원래 ebp 값으로 복원
retn ///함수 종료

실습

글로 된 설명만 읽어서는 이해가 어려우니 직접 리버싱 핵심 원리에 나오는 실습을 따라해보자.

#include<stdio.h>

long add(long a, long b) {
	long x = a, y = b;
	return (x + y);
}

int main(int argc, char* argv[]) {
	long a = 1, b = 2;
	printf("%d\n", add(a, b));
	return 0;
}

언제나와 같이 main 함수를 찾아 먼저 break point를 걸어준 뒤 시작한다.