디버거, IDA

디버거

• 프로그램 debug할 때 사용하는 프로그램
• intel x86에는 디버깅을 위한 Interrupt들이 cpu에 디자인되어 있다.
• 여러 수단 제공 ex) breakpoint, single stepping, run, continue
• 종류 - Ollydbg, immunity dbg, IDA, x96 debugger 등 
• 대부분 code, stack, register 보여주는 UI 제공

 

IDA

• x86, x64, arm, mips 등 여러 아키텍쳐 분석 가능
• PE 뿐만 아니라 리눅스 실행파일 ELF도 분석 가능
• EXE header - '4D 5A' [MZ]

 

IDA 예시 

• ex) Visual Studio에서 Debug한 exe로 IDA 분석 가능

1. Entry point를 알아서 포커스 해줌
2. start_0 or 임의로 이름지어진 함수 더블클릭 -> 해당함수로 들어감

* start_0를 따라간다고 main함수가 나온다는 보장X + Viusal Studio 버전마다 main 함수 호출 방식이 다름

 

 

IDA 함수 이름

• 디버거는 Symbol이 있는 함수들의 이름은 표시해주지만, 없는 경우는 주소만 나타낸다.
• "sub_"이라는 접두사 붙음

 

IDA main 함수 찾기

• 프로그램의 시작은 main 함수가 XXXXXXXXXXXXXX
• 프로그램의 실제 시작 주소 => "Entry Point (EP)"
• EP는 프로그램을 정상적으로 구동시키기 위한 작업을 함. -> 이 작업 이후에 main 함수 호출
• TIP ) PE에서는 argv, argc 관련 함수를 호출하고 main 함수를 부른다.
• -> 물론 절대적인 기준 X

 

IDA - Xref

• 변수, 함수, 데이터가 어느 부분에서 참조되는지 알려줌.
• 궁금한 것 선택 후 [x] key 누름

 

IDA - String

• 문자열 확인하고 싶으면 [Shift + F12] key 누름
• TIP ) 리버싱 프로그램에서 문자열을 쓸 수 밖에 없음 -> 참조하는 주소에 가면 확률 UP

1. String 확인
2. 문자열 따라가기
3. xrefs 이용하기
4. 루틴 파악

 

IDA - naming

• [n] key로 해당 함수 네이밍 가능하다.

 

정적분석,,어렵다,,^^

여러 리버싱 문제로 연습합시다 ^_^;;;;; 어려웡~

 

 

 

 

BY 센빠이