jz in reverse engineering

안녕하세요. 마플입니다 ^_^
잘 지내시나요 ㅎㅎ... 오랜만에 와봤습니다.

제가 보기에 리눅스의 코드가 저렇게 변경되는 이유는 SSP 때문인것 같습니다.
-fstack-protector 옵션을 끄고 컴파일해보세요.

일부만 봐서 확신하긴 힘들지만,
늘린 스택의 머리부분에 인자를 넣는 이유는 버퍼오버플로우로 포인터 변수를 변조해서 GOT 주소를 덮어씌우는 공격법에 대한 패치로 나온 것으로 알고 있습니다.

함수부 전문을 보면 알 수 있을것 같습니다. 수고하세요 ~

으헉! 쓸데없는 삽질을 시킨셈이 되다니 죄송합니다;

리눅스에서 스택에 인자를 넣을때 push를 쓰지 않고 sub esp, xx를 한 뒤에
mov [esp], mov [esp+4] 같이 스택의 최상위에 인자를 써 넣는 이유가
버퍼오버플로우 exploit 이 가능해지는 공격법에 대해서 패치로 나온걸로 알고 있습니다.
포인터변수를 덮어씌우는 것을 방지하기 위해서요 ㅎㅎ;

아마 ssp옵션과 무관하게 컴파일러가 번역을 하는 것 같습니다. ^_^

결코 죄송해서 변명하는게 아닙니다. ㅎㅎ;;

건강하세요~ 중독성있는 목소리 다시 듣고 싶네요 ㅎㅎ

하핫 ^_^;

오래되서 정확히 설명할 수 있을지 모르겠습니다.
정확히 얘기해서 mov [esp] 를 하는 이유는 포인터 변수의 변조를 막기 위해서 스택 최상단에 위치시키는게 목적입니다. 그 이유는 함수 내에서 buf[] 후에 포인터 변수가 선언되어 buf 하단에 포인터변수가 위치되면 buf 를 오버시켜 포인터 변수의 주소를 변조시켜 ssp를 우회 가능한 경우가 있기 때문입니다. 예를 들어, strcpy()를 두번 쓰는 경우에, 사용자 입력을 받아 buf에 넣고 buf에서 char* 가 가르키는 주소로 strncpy()를 한다고 생각해보겠습니다. 이 경우에 char* 주소를 변조해서 사용자 입력을 공격자가 목적한 주소에 복사해넣을 수 있습니다. buf를 오버시켜서 스택내 char* 가 위치하는 곳에 코드를 복사할 주소를 넣으면 됩니다. exploit에서는 printf()의 GOT주소를 넣었습니다. 그럼 strncpy()에서 첫째 인자로 printf()의 GOT 주소가 오게 되고, buf를 strncpy()해서 printf()의 GOT주소에 입력한 값을 복사해 넣게 되면, 그 후에 오게되는 printf() 함수 호출시에는 사용자가 넣은 코드가 실행이되게 됩니다. 쉘코드를 넣는다면? :D

만약 함수내에서 구성되는 스택상의 buf 의 아래에 포인터 변수가 없는 경우라도, 함수 호출시 strcpy()에 들어가는 인자를 넘겨준다고 하면 buf를 엄청나게 오버플로우 시켜서 SFP, RET을 넘어서 인자가 존재하는 ebp -4 등을 덮어씌어서 마찬가지로 GOT 변조가 가능해집니다.

그래서 gcc 최신 버전에서는 어떤 경우에도 매개변수가 ebp 하단에 위치하는 경우가 없습니다 ^^;

요즘은 스택주소가 랜덤하게 생성되고, 보시다시피 포인터변수의 위치를 컴파일러가 조작하기 때문에 사실상 스택 버퍼 오버플로우는 거의 불가능하며 그 전에 중요한건... 해당 exploit은 더 이상 시스템을 공격하는게 아니라 어플리케이션의 취약점이 된 것이죠 ㅎㅎ; 사족이 너무 길어졌네요...

수고하세요 ^_^;

잠시 어머님이 오셔서 ㅎㅎ... 다녀왔는데 실시간 통신이 되었네요. ^^
절묘한 시간대네요.

제가 뭔가 착각했던것 같습니다.
머리 속 단편화가 심해서 가끔 descriptor가 잘못 연결된 경우가 가끔 많이 있습니다.;

말씀하신 내용은 인자를 넘겨주는 표현이 다르다는 점이었군요 ^^;

제가 최신 커널 gcc에서 버퍼오버플로우를 공부할때, 분명히 스택내에 변수가 위치함에도 불구하고, 스택 최상단인 [esp]에 똑같은 값을 넣어줘서 인자로 넘겨주는 것을 봤는데 이것이 bof공격기법의 패치라는 것이 너무 뇌리에 깊게 남았나봅니다...

죄송합니다. 조각모음을 빨리 해야될것 같습니다 T_T;

esp랑 esp+ 지역에 인자를 넘긴다면 지역변수가 사용하는 메모리를 침범하는거 아닌가요?

가정1)
esp로 인자를 넘기기 전에 필요한 만큼 스택을 조금 더 늘린다고 하면 push로 넘기는 거랑 같은 효과가 있겠지만, 어짜피 add로 정리를 해줘야 하니 이건 아닐것 같네요.

가정2)
아니면 프롤로그 부분에 함수 인자를 넘길 여유의 공간을 잡아 놓는 것인지.. 예를들어 인자 갯수중 가장 많은걸 찾아서 (만약 4개라면) 4개 만큼 추가로 지역변수 영역을 잡는거죠. 원래 0x100만큼 잡을거 0x110 만큼 잡아서 맨위 0x10은 인자를 넘기는데만 사용한다. 이런식으로...

아하 그렇군요, 궁금증이 해결되었네요 :)
재밌는 정보 감사합니다 ^^

안녕하세요 (__)
왜 스택을 먼저 크게 확장하고 push 대신에 mov 를 사용하나 했더니
말씀대로 스택을 줄이고 늘리고 하는게 없어지는군요 +_+
덕분에 궁금증이 풀렸네요 ㅎ

오왕 인기짱이네여! ㅋㅋ
gcc test.c -o test.c

너무 어렵네여

댓글 테스트

티스토리 이상하네 자꾸 댓글 달려고 하면 차단했다고 나옴 ㅠㅠ

mov eax, dword ptr[0x12fa04_TimeValue]
cmp eax, 0xc
jz gohome

아 연속으로 못 쓰는건가?

아닌데 -_-;

jz gohome ㅋㅋㅋ

놀러 왔습니다 ~

jz gowork 보다 낮은데욤 =ㅁ= ㅋㅋㅋㅋ

jz goarmy

이건 어떤가요?

댓글이 많은 것 같아서 저도 하나 달고 가요 =_=ㅎㅎ

우와.. 간만에 들렀는데.. 댓글이 대박이군용..^^ㅋㅋ
잘 지내고 계신가요..? ^^a

ps.. gcc 에서 저런식으로 되는건 오늘 처음알았네요;; (볼생각을 한적이 없으니; )

이런 전문적인 글은 역시 어렵단 말이죠 ㅋㅋㅋㅋ

초보가 알아들을 수 있게 다시 설명을 좀.. ㅋㅋ;;;;

근데 댓글이 엄청 많군요 ㅋㅋ!!!!!