스택 프레임이란 ESP가 아닌 EBP 레지스터를 사용해서 스택 내의 변수, 파라미터, 복귀 주소에 접근하는 기법!
(어제 스택의 구조 공부했다능 ㅎㅎ 스택의 ESP값은 유동적인 놈이기 때문에 EBP값을 이용해서 정확한 위치를 참고할 수 있게 된다!)
쉽게
- 스택 프레임 : 어떠한 함수가 호출 되었을 때 그 함수가 가지는 공간의 구조!
스택 프레임의 구조는 다음과 같습니더
PUSH EBP : 함수의 시작! (EBP값을 스택에 저장)
MOV EBP, ESP : ESP값을 EBP에 저장
... : 함수본체, 여기서 ESP가 마구잡이로 변경되어도 EBP값에 영향을 미치지않음
MOV ESP, EBP : ESP값 복원(함수 시작했을 때 값으로 복원)
POP EBP : EBP값 복원
RET : 함수 종료
간단히 요약
- 함수 호출 시 EBP값을 스택에 저장해놓고, 마구잡이로 쓰다가 함수 끝날 때에~쯤 되면 다시 복원시키고 함수를 종료함
Stack Frame.cpp
#include "stdio.h"
long add(long a, long b)
{
long x = a, y = b;
return (x + y);
}
int main(int argc, char* argv[])
{
long a = 1, b = 2;
printf("%d\n", add(a,b));
return 0;
}
그냥 더하는 프로그램이다 ㅋㅋ
그럼 리버싱 핵심원리를 따라서 ㄱㄱ
x32dbg로 StackFrame.exe 파일을 열고 401000 주소로 간다.
이후에 401020에 [F2]를 걸고 실행해보면서 스택의 변화를 살펴보자!!!
401020은 main()입니다. 실행을 시키면 바로 스택 프레임을 생성합니다.
PUSH는 스택을 집어넣을 때 사용, EBP값을 스택에 집어넣는 행위 입니다. main()에서 EBP가 이전에 가지고 있던 값을 스택에 백업!
보세요 스택에 들어가부렸쥬?
그다음 줄을 실행합니다.
MOV 명령은 데이터를 옮기는 명령. ESP값을 EBP에 옮겨라! 이 명령 이후에는 EBP와 ESP값이 같아지는걸 확인할 수 있습니다.
ㄹㅇ 같아짐
그리고 이렇게 같아진 EBP값은 main()함수가 끝날 때까지 고정됩니다. (401020,401021의 실행을 통해 스택프레임 생성!)
* EBP와 ESP가 18FF40으로 같아졌고, 18FF40에는 main()함수가 시작할 때 EBP가 가지고 있던 초기값인 18FF88을 저장하게 됨
다음으로 main()안의 로컬 변수 (a,b)를 위한 공간을 만들예정 입니다
long a = 1, b = 2;
그 다음줄을 실행합니다
SUB는 알다시피 빼기 명령어 입니다 ESP에서 8을 빼라는 소리인데 a와 b가 long 타입이므로 각각 4바이트씩 크기를 가지기 때문에 8만큼의 공간을 확보합니다.
18FF40 - 8 = 18FF38
다음 코드 입니다.
[EBP-4]에는 1을 넣고, [EBP-8]에는 2를 넣어라는 의미입니다. 각각 a,b를 의미하게 되겠습니다.
여기까지 실행한 후에 스택 상태를 확인!
18FF40 -4 = 18FF3C // 18FF40 - 8 = 18FF38
이제 덧셈을 해주는 add()함수로 가봅시다.
main()에서 add함수를 호출하는데 전형적인 함수호출의 모습이라고 합니다.
call 401000에서 401000이 바로 add()입니다. 위에서 봤다시피 add() 함수는 a,b를 파라미터로 받는데
[EBP-8], [EBP-4]의 b,a 역순으로 스택에 저장된다는 것이 중요. b가 먼저 스택에 드러가고 변수 a가 나중에 들어갑니다.
여기까지 실행한 후의 스택의 모습
main은 a,b add함수 호출은 b,a 재밌쥬?
이후에 call을통해 add()함수가 실행되고 다시 복귀주소를 통해 돌아와야 합니다.
바로밑의 401041이 바로 add()함수의 복귀 주소입니다. call 실행 후 스택의 모습은 다음과 같습니다.
401041로 복귀되는 모습
main() 함수가 스택프레임을 생성했듯이, add()함수도 스택 프레임을 따로 생성합니다.
코드는 main() 함수와 똑같습니다.
401000 ~ 40100F 까지의 그것은 main()과 같기때문에 따로 설명X
직접 실행해보면서 레지스터와 스택의 변화를 몸소 체험해보자!
이후에 마지막 ADD연산을 수행합니다. ADD 연산은 아래 코드에 해당하는 내용입니다.
return (x + y);
401012 번째 줄입니다.
변수 x의 값(EBP-8)을 EAX에 넣습니다. x=1
변수 y의 값(EBP-4)를 EAX에 더합니다.
1+2 =3 이므로 EAX의 값이 3이 되는것을 EAX 레지스터를 통해 확인해봅니다.
3이쥬 ? ㅎㅎ
이제 add() 함수의 스택 프레임을 해제합니다.
최초의 MOV EBP, ESP의 역으로써 원래대로 ESP를 복원하는 스택프레임 해제!
현재 EBP값을 ESP에 대입함
add() 함수가 시작되면서 백업했던 EBP값을 원래대로 복원 (401000과 대응되는 명령어)
add() EBP 복원=> add() 스택프레임 해제 완료
* 함수 호출전의 스택 상태로 완벽히 돌아오게 됨. (Stack BOF 기법에 취약할 수 있음)
LittleEndian.exe
