「たのしいバイナリの歩き方」第1章勉強メモ

CTFを勉強する上でおすすめの本だったので、「たのしいバイナリの歩き方」を購入し、勉強を始めました。
自分の理解を深めるためにも勉強メモとして記録しておこうと思います。

次の3点に注目！

監視するためのツールの紹介。

[Stirling]（バイナリエディタ）
http://www.vector.co.jp/soft/win95/util/se079072.html

[Wireshark]（ネットワーク監視）
http://www.wireshark.org/

sample_mal.exeで0.exeと1.exeはコピーされていましたが、
レジストリへの書き込みは確認できませんでした。
UACが関係しているのか？？？

[Stirling]
http://www.vector.co.jp/soft/win95/util/se079072.html

[BZエディタ]
http://www.vector.co.jp/soft/win95/util/se032859.html

wsample01a.exeをIDAで開いても、
wWinMainという関数名が見つかりませんでした。

デバッガの紹介。

[OllyDbg]
http://www.ollydbg.de/

OllyDbgのショートカット。

[F2]：ブレークポイントのセット
[F7]：ステップイン
[F8]：ステップアウト
[F9]：実行

最初にStirlingやIDAで全体をざっと眺めたあとに、
気になったポイントをOllyDbgでステップ実行していく、
という流れで解析することが多い。

[OllyDbg]
http://www.ollydbg.de/

[Immunity Debugger]
http://www.immunityinc.com/products/debugger/

[WinDbg（32ビット版）]
http://msdn.microsoft.com/ja-jp/windows/hardware/gg463016

[WinDbg（64ビット版）]
http://msdn.microsoft.com/ja-jp/windows/hardware/gg463012

OllyDbgが特に人気。
Immunity Debuggerも同じUIで使え、Pythonと親和性が高い。
WinDbgは初心者向けではないが、唯一カーネルランドで動作するプログラムのデバッギングに対応している。

実際に覚えなければいけない命令は20～50ほど。
よく使われるアセンブラ命令

命令	例	意味	説明
MOV	MOV EAX,ECX	EAX = ECX	ECXの値をEAXへ格納
ADD	ADD EAX,ECX	EAX += ECX	EAXにECXを加算
SUB	SUB EAX,ECX	EAX -= ECX	EAXからECXを減算
INC	INC EAX	EAX++	EAXに1を加算
DEC	DEC EAX	EAX--	EAXから1を減算
LEA	LEA EAX,[ECX+4]	EAX = ECX+4	ECX+4をEAXへ格納
CMP	CMP EAX, ECX	if(EAX == ECX) 　ZF=1 else 　ZF=0	値と比較してフラグへ反映　EAXとECXが同じならばZF=1 　EAXとECXが違うならばZF=0
TEST	TEST EAX,EAX	if(EAX == 0) 　ZF=1 else 　ZF=0	値を0と比較してフラグへ反映　EAXが0ならばZF=1 　EAXが0以外ならばZF=0
JE(JZ)	JE 04001000	if(ZF==1) 　GOTO 04001000	ZFが1なら04001000へジャンプ
JNE(JNZ)	JNE 04001000	if(ZF==0) 　GOTO 04001000	ZFが0なら04001000へジャンプ
JMP	JMP 04001000	GOTO 04001000	無条件で04001000へジャンプ
CALL	CALL lstrcmpW		lstrcmpWの呼び出し
PUSH	PUSH 00000001		スタックへ00000001を格納
POP	POP EAX		スタックからEAXへ値を格納

test命令は、ほとんどの場合において、test eax,eax や test ecx,ecx といったように、同じレジスタが２つ渡される形で使われる。
同じレジスタが渡されているtest命令を見つけたら、それは条件分岐であり、「レジスタが０ならば、ZFを１にするんだな」と覚えておけば大丈夫。

戻り値はeaxに格納される。これはある種の決まりごとであり、多くのプロセッサでは常識的に扱われている。
サブルーチンに渡す引数は、push命令を使い、スタックに格納する。
「引数はスタックに積まれる」と覚えておいて問題ない。

OllyDbgの関数一覧で、TypeがExportと書かれている関数をダブルクリックすると、その関数の先頭にジャンプすることができる。

OllyDbgのショートカット。

[Ctrl]+[F9]：リターンまで実行
[Alt]+[F9]：ユーザーコードまで実行

リバースエンジニアリングでは、「重要な個所は時間をかけてじっくりと理解する」「それ以外は全体の雰囲気からなんとなくこんな感じかなぁとざっくり把握する」ぐらいでよい。

アセンブラを書くことで、読み書き両方の能力が鍛えられる。

[NASM]（アセンブラ）
http://www.nasm.us/

[ALINK]（リンカ）
http://alink.sourceforge.net/download.html

アセンブラのファイル拡張子はasmにする。

実行例
C:\>nasm -fwin32 hello32.asm
C:\>alink -oPE hello32 win32.lib -entry main