ざっくりとしたバイナリ解析とアセンブリの説明です

1. 独学道場
アセンブリの会(仮)
末永良太
1

2. はじめまして
• 末永良太
• rails書き
• 福岡と佐賀のハーフ
2

3. 準備
objdump(gobjdump)
vim(vi)
gcc
コード(https://github.com/asmsuechan/sample.c/
blob/master/sample.c)
githubでasmsuechanを検索したら出てきます
3

4. アセンブリ書いてる、と
言ったときの周囲の反応
4

5. 403 Forbidden
• 拒否の姿勢
5

6. アセンブリは敵じゃない
打ち解けましょう
6

7. もくじ
• 文法編
• 解析編
• 参考図書
7

8. 注:ざっくりしてます
時間との戦い
8

9. どこで使われているのか
• OSのブート部分(いわゆる低レイヤ寄り)
• 脆弱性突く時
• 1マイクロ秒でも縮めたい時
9

10. Linuxカーネルのboot部分
Linux/arch/i386/boot/setup.S
10

11. 最近のアセンブリ
• 最近割とブーム
CTF(Capture The Flag)の人気が上がっているの
でアセンブリも使う(読む)人が増えている
11
CTF:暗号を解いてキーワードを入手する競技

12. 文法編
12

13. レジスタ
• CPUにある役割付きのデータ保存領域の事
eax 何にでも使う ebp
スタックのベー
スを示す
ebx 何にでも使える esp
スタックのトッ
プを示す
ecx カウンタで使う
edx 除算で使う
13

14. レジスタとメモリ
• どちらも保存領域なのですが、CPUからの距離の
問題でレジスタの方が100倍近く速いです
なるべくメモリを使わないのがアセンブリを書く
美徳だと考えています。
14

15. アセンブリの文法
代入と比較とジャンプしかありません
15
そう思うと意識が高まる

16. 繰り返しは甘え
強くなりましょう
16

17. アセンブリの文法
• 注:もちろん代入と比較とジャンプ以外もあります
• mov命令、cmp命令、jmp命令を紹介します
17

18. mov $1,%eax
18
eaxレジスタ
1
• 1をeaxレジスタに代入します。

19. cmp
• 値を比較します
jmpとセットになる事が多いです
• C言語だとif文です
19

20. jmp <address>
• <address>にジャンプする
• Cだとgoto
20

21. 繰り返しはどうするのか
• cmpで比較してその値によりjmp命令で指定した部
分に飛びます
Cだとこう
21

22. ざっくりとした流れ
1. レジスタやメモリから値を取ってくるor代入する
2. システムコールしたり比べたり演算したりする
3. ジャンプする
22

23. 解析編
sample.c を使って実際に解析します
23

24. smaple.c
24

25. FLAGSが知りたい
このままだとwrong keyとしか出なくてFLAGSを知
ることができません！
プログラム解析の出番
25

26. プログラム解析
• objdumpコマンドで逆アセンブル
逆アセンブルで実行プログラムをアセンブリコード
に変換できる
(1)sample.cを一度コンパイルしてください
26
gcc -o sample sample.c

27. (2)sampleを実行します
./sample
27

28. (3)objdumpする
(g)objdump -S sample
28

29. objdump
29
(g)objdump -{option} {実行ファイル}
よく使うオプションは
-Dや -S

30. objdumpの出力
• 出力の左側の100000f00のような数値はメモリア
ドレスです
• 真ん中の48 89 e5が16進数の機械語コードです
• 右側がアセンブリコードです
30

31. メモリアドレス 機械語 アセンブリ
31

32. 解析方法
(4)<_main>の中からcmpを探す
32

33. cmpの下にはjmpがある可能性が高いです
jが先頭に付く命令はjmpの仲間です
←ありますね
33

34. 確認できたのでcmp命令をもう一度見てみます
数字の1と-0x8(%rbp)を比べています
1行上を見ると
とあり、数字の0を-0x8(%rbp)に代入しています
つまり、1と0を比べています
cmpl $0x1,-0x8(%rbp)
movl $0x0,-0x8(%rbp)
34

35. その下(lea mov)はprintfの呼び出し周りなので無視
この2箇所
35

36. (5)だいたいの流れ
代入された1と数字の0を比べて条件分岐している
＿人人人人＿
＞ 簡単 ＜
￣Y^Y^Y￣
36

37. (6)どうすれば分岐先を変更できる？
代入する数字か、比べる数値の0を変更すれば別の分
岐先のコードが実行できそうですね。
→バイナリを直接編集してcmpの値を変更します
cmpl $0x1,-8(%rbp)を探して1を0に変更する！
37

38. バイナリ編集
• vim(vi)のxxdモードでバイナリを直接編集できる
(7) vim(vi)でsampleを開く(別タブがいいです)
38
vi -b sample

39. (8)バイナリ編集モードに入る
(vi開いたまま) :%!xxd
1区画2バイトです39

40. • cmpがあるメモリアドレスを確認します
100000f16の近く
40

41. • 100000f16っぽい場所を探す
見た事あるこの辺を編集すればいい41

42. • iを押してinsertモードになって、1を0に変えてみ
てください
1を 0に
注:まだ保存しないでください
42

43. (9)バイナリ編集モードからバイナリモードに戻る
Escキーを押して
:%!xxd -r
戻りました
43

44. (10)保存して実行
Shift + zz と入力して保存
./sampleを実行
やっためう！すごいめう！
44

45. ちょっと待てよ・・・
お気付きでしょうか・・・
45

46. アレ・・・
46

47. アレアレ・・・
47

48. アレレ∼
48

49. 解析のコツ
• cmpを探す
分岐は解析の
• 深く読まない
追いすぎない、分からないものは飛ばす
• 書けなきゃ読めない説
簡単な数値計算が書けたら難しいものが読める
49

50. 参考図書(個人的なおすすめ)
• BINARY HACKS
ファイルの構造やobjdumpの
使い方が書いてあります
オススメ度：★★★★★
50

51. • 解析魔法少女美咲ちゃん
マジカル・オープン！
バイナリ解析がかなり分かり
やすく書かれてます
オススメ度：★★★☆☆
51

52. • 0と1のコンピュータ世界
バイナリで遊ぼう！
バイナリかるたが載ってて
楽しい
オススメ度：★★★☆☆
52

53. 以上です
ありがとうございました
53