Hack The Planet: 二進位忍者的逆向工程試煉

Transcript

1. Hack The Planet: 二進位忍者的逆向工程試煉 CX330
2. Slido!!! https://app.sli.do/event/eQMYHkfpsXDox nVzbPN54x https://docs.google.com/presentation/d/1K4u-FwueFBGprh-m_kOQkM_wsp573Rv7LCnAvbz2e4w/edit#slide=id.g 166080f71bd_0_5
3. Link Tree whoami • 常用 ID：CX330、Cyber Vampire • 成大資安社現任社長 • Security Research Intern @ CyCraft • 2025 TSC CTF 3rd • 2025 MyFirstCTF Golden Prize • 2025 技能競賽全國賽佳作 • CWES (CBBH) Holder • 血液中是咖啡 • Binary Ninja 傳教士 I use Neovim btw…
4. https://docs.google.com/presentation/d/1K4u-FwueFBGprh-m_kOQkM_wsp573Rv7LCnAvbz2e4w/edit#slide=id.g 166080f71bd_0_5
5. Outline & Schedule • 上半場：逆向工程基礎原理及靜態分析 ◦ What is 逆向工程 ◦ Endianess ◦ 執行檔原理與分析 ◦ x86-64 指令集架構（ISA） ◦ Calling conventions ◦ Decompilers 初探 ◦ Entry Point • 下半場：深入記憶體，動靜結合的藝術 ◦ Debuggers ▪ x64dbg ▪ GDB ◦ Memory layout ◦ Stack frame ◦ Data Alignment ◦ Enum & Structs ◦ and more (.NET, Python, etc)
6. Goals • 逆向分析技巧 • 程式運行原理 • 程式調試原理 • 培養大家的耐心 Source
7. 課前須知！
8. 先備條件： • 可執行 PE 的環境 ◦ • 需要一台 Windows 或是虛擬機 可執行 ELF 的環境 ◦ 需要一台 Linux 或是虛擬機 • 已安裝 Binary Ninja Free • 已安裝 x64dbg • 已註冊上課所需的題目平台 • 想要變強的心
9. 下忍試煉，正式開始！
10. What is 逆向工程
11. What is 逆向工程：廣義 • 定義 ◦ 理解產品內部原理 ◦ 在無法輕易獲得必要的生產 資訊下，直接從成品的分析， 推導產品的設計原理 ◦ 小時候拆玩具研究內部構造 Source
12. What is 逆向工程：狹義 Compile 編譯
13. What is 逆向工程：狹義 Assemble 組譯
14. What is 逆向工程：狹義 • • 定義 ◦ 從機器碼一步一步回推開發 目標 ◦ 執行流程 人員想法 ◦ ◦ 寫外掛更改程式原本的正常 透過工具反組譯＋反編譯讓 ◦ 研究程式底層漏洞 逆向工程師更方便理解 ◦ 惡意程式分析 盡可能還原工程細節 ◦ 軟體行為分析 ◦ 破解軟體註冊機（Keygen） ◦ 抄襲產品
15. Endianess
16. Endianess Source • 端序 • 不過我都講英文 • 小故事
17. Endianess：複習重要觀念 0x__ = 0b_ _ _ _ _ _ _ _ = 1 Byte 16 * 16 = 256 = 2 ^ 8 = 2 * 2 * 2 * 2 * 2 * 2 * 2 * 2
18. Endianess Source: https://hackaday.com/2020/08/04/dont-let-endianness-flip-you-around/
19. Endianess • • 大端序 ◦ 第一個是 MSB (Most Significant Byte) ◦ 對人類而言好讀 小端序 ◦ 第一個是 LSB (Least Significant Byte) ◦ 對機器而言好處理 ◦ 型態轉換很方便快速 ◦ 舉個 🌰 0xAA 在 little endian 機器上 aa 00 00 00 int aa 00 00 00 short
20. 執行檔原理與分析
21. 執行檔原理與分析：執行檔原理 • 把隨便一個東西後綴改為 .exe 並運行
22. 執行檔原理與分析：執行檔原理 不符合執行檔格式！！！
23. 執行檔原理與分析：執行檔常見家族 • • PE (Portable & Executable) ◦ 作業系統：Windows ◦ 副檔名：.exe、.dll、.sys ELF (Exetutable & Linkable Format) ◦ • 作業系統：Linux Mach-O (Mach Object) ◦ 作業系統：MacOS、iOS ◦ 本課程不包含
24. 我們怎麼知道一個檔案的格式？
25. 執行檔原理與分析： file
26. 那電腦怎麼知道一個檔案的格式？
27. 執行檔原理與分析： headers Magic Bytes
28. 執行檔原理與分析： headers
29. 執行檔原理與分析：補充 xxd
30. Lab Time! sharingan
31. 執行檔原理與分析： sharingan 講解
32. 執行檔原理與分析： sharingan 講解
33. 執行檔原理與分析： sharingan 講解
34. 執行檔原理與分析： sharingan 講解 e0 ff d8 ff ff d8 ff e0
35. 執行檔原理與分析： sharingan 講解
36. 執行檔原理與分析： sharingan 講解 不給你看，你自己練習！
37. 執行檔原理與分析： Sections 功能 PE ELF Mach-O 程式碼 .text .text __TEXT,__text 常數資料 .rdata .rodata __TEXT,__const __TEXT,__cstring 可寫資料 .data .data __DATA,__data 未初始化資料 .bss .bss __DATA,__bss 入口點 address in .text _start _main / some addr
38. 執行檔原理與分析： Sections 功能 PE ELF Mach-O 程式碼 .text .text __TEXT,__text 常數資料 .rdata .rodata __TEXT,__const __TEXT,__cstring 可寫資料 .data .data __DATA,__data 未初始化資料 .bss .bss __DATA,__bss 入口點 address in .text _start _main / some addr
39. 執行檔原理與分析： file & readelf • 查看檔案類型 ◦ • 顯示所有資訊 ◦ • readelf -all <binary> 查看 headers ◦ • file <file_name> readelf --headers <binary> 查看 symbols ◦ readelf --symbols <binary>
40. 執行檔原理與分析： file & readelf Magic Bytes
41. 執行檔原理與分析： file & readelf ELF64, little endian
42. 執行檔原理與分析： file & readelf Entry
43. 執行檔原理與分析： strings
44. Lab Time! EzStrings
45. 執行檔原理與分析： ltrace
46. 執行檔原理與分析： strace
47. Lab Time! FlagTracer
48. 執行檔原理與分析： ELF Format https://github.com/corkami/pics/blob/master/binary/elf101/elf101.pdf
49. 執行檔原理與分析： ELF Format ELF Header Program Header Table Section 0 Section 1 Section 2 … Section Header Table • 裡面的結構都可以在 elf.h 裡面找 • 可以使用 readelf 來解析他的結構
50. 執行檔原理與分析： ELF Format ELF Header Program Header Table • 裡面的結構都可以在 elf.h 裡面找 • 可以使用 readelf 來解析他的結構 那我們來看看一個檔案的 raw bytes 是怎麼 Section 0 被Section mapping 到這些結構的吧 1 Section 2 … Section Header Table
51. 執行檔原理與分析： ELF Header e_ident 提供初步檔案識別資訊
52. 執行檔原理與分析： ELF Header e_type 檔案類型
53. 執行檔原理與分析： ELF Header e_type 檔案類型
54. 執行檔原理與分析： ELF Header e_machine 對應的硬體架構
55. 執行檔原理與分析： ELF Header e_machine 有很多不同的合法的 值，可以自己去這裡看 https://elixir.bootlin.com/glibc/glibc-2.37/source/elf/elf.h#L169 e_machine 對應的硬體架構
56. 執行檔原理與分析： ELF Header ELF header 中有很多欄位，我們挑重要的講！ e_machine 對應的硬體架構
57. 執行檔原理與分析： ELF Header e_entry 程式的進入點（ entry point）
58. 執行檔原理與分析： ELF Header e_phoff Program header offset
59. 執行檔原理與分析： ELF Header e_phentsize Program header entry size
60. 執行檔原理與分析： ELF Header e_shnum Section header num
61. 執行檔原理與分析： ELF Header e_shstrndx String table 是第幾個 section header
62. 執行檔原理與分析： Program Header 前面有看到，每一個 Program header 是 0x38 的大小 Program header 會告訴 loader 這些 segment 要怎麼被映射 到記憶體裡，每個 program header entry 都描述一個 segment
63. 執行檔原理與分析： Program Header p_type 描述 program header 的種類
64. 執行檔原理與分析： Program Header p_flag 描述這個 Phdr 的權限
65. 執行檔原理與分析： Program Header 這邊我們來演示一下如何追 linux 的程式碼 推算出這個 PHDR 是 Read only 的 p_flag 描述這個 Phdr 的權限
66. 執行檔原理與分析： Program Header readelf -l
67. 執行檔原理與分析： File Permissions Source: https://qirolab.com/posts/understanding-linux-file-permissions-and-ownership
68. 執行檔原理與分析： File Permissions Source: https://kodekloud.com/community/t/linux-permissions/13311
69. 執行檔原理與分析： Program Header
70. 執行檔原理與分析： Program Header
71. 執行檔原理與分析： Program Header ELF64 Source: https://refspecs.linuxbase.org/elf/gabi4+/ch5.pheader.html
72. 執行檔原理與分析： Program Header Source: https://web.mit.edu/freebsd/head/sys/sys/elf64.h
73. 執行檔原理與分析： Program Header ELF64 4 Elf64_Word 4 Elf64_Word Flags Flags 在 PHDR base address + 4 Byte 的位置
74. 執行檔原理與分析： Program Header Flags
75. 執行檔原理與分析： Program Header 04 00 00 00 00 00 00 04 Little Endian 00000004 = 0x04 =4 = 0b100 0b100 r--
76. 執行檔原理與分析： Program Header 04 00 00 00 00 00 00 04 Little Endian 00000004 = 0x04 =4 = 0b100 0b100 r--
77. 執行檔原理與分析： Program Header p_offset 描述他在檔案的 offset
78. 執行檔原理與分析： Program Header p_vaddr Virtual Address
79. 執行檔原理與分析： Virtual Address • Virtual Address 是作業系統在執行程式時，為每個 process 所建 立的一組邏輯記憶體空間。它是一種間接記憶體存取方式，不直接 對應實體記憶體，而是透過 Memory management unit 轉換為 Physical address。而這麼做的好處是： ◦ 每個 Process 可以有獨立的記憶體空間 ◦ 可以 ASLR (Address Space Layout Randomization) ◦ 支援大於 Physical address 空間的記憶體配置
80. 執行檔原理與分析： Virtual Address Source: https://learn.microsoft.com/zh-tw/windows-hardware/drivers/gettingstarted/virtual-address-spaces
81. 執行檔原理與分析： Virtual Address Virtual Memory Map
82. 執行檔原理與分析： Program Header p_filesz Segment 在檔案中的大小
83. 執行檔原理與分析： Program Header p_memsz 放到 memory 上的大小，可以 與檔案大小不同
84. 執行檔原理與分析： Program Header p_align 大小要是這個的倍數，對齊
85. 執行檔原理與分析： Program Header Loader 在把資料映射到記憶體的時候是以 segment 為單位， 一個 segment 可以對應到多個 section
86. 執行檔原理與分析： Sections
87. 執行檔原理與分析： Sections
88. x86-64 指令集架構（ ISA）
89. x86-64 指令集架構： CPU • 計算機的大腦，處理絕大部分的運算 • 運作流程（4-stage pipeline）： ◦ Fetch：從記憶體抓取指令 ◦ Decode：解碼指令的 Opcode 及 Operand ◦ Execute：執行指令，會涉及 ALU（Arithmetic Logic Unit）運算和記憶 體存取 ◦ Write Back：儲存運算結果回暫存器（Register）或記憶體（Memory）
90. x86-64 指令集架構： CPU
91. x86-64 指令集架構： CPU 指令？指令到底是 啥？
92. x86-64 指令集架構 電腦 只看 得懂 0跟 1
93. x86-64 指令集架構 電腦 跟 0 啊 ！ ！ ？ 只看 ？ 啊 得 麼 懂 什 是 0跟 底 1 1到
94. x86-64 指令集架構 ！ 電腦 ！ ？ 只看 ？ 啊 得 麼 Machine Code！也就是指令真正的樣態 什懂 0 跟 是 底 到 1 1 跟 0 啊
95. x86-64 指令集架構： Machine Code • 由 0 跟 1 組成一條條機器可以直接執行的 Instructions • 如果釐清了每個 0 跟 1 的位置，就可以知道對應的指令 ◦ • 例如：`b8 01 00 00 00` 就是 `mov eax, 00000001` ◦ • 這叫做 Instruction Encoding 詳細原因後面會解釋 用 `objdump -d -M intel <filename>` 看 Assembly & Machine code
96. x86-64 指令集架構： Machine Code Source: Intel® 64 and IA-32 Architectures Software Developer’s Manual
97. x86-64 指令集架構： Machine Code
98. x86-64 指令集架構： Machine Code 先來 個名 詞解 釋！
99. x86-64 指令集架構： Machine Code • • Instruction ◦ 完整的一條指令 ◦ e.g. `mov eax, 1` Mnemonic 助記符 ◦ • Opcode ◦ • e.g. `mov` e.g. `b8` Machine Code (opcode + operand) ◦ e.g. `b8 01 00 00 00`
100. x86-64 指令集架構： Machine Code • • Instruction ◦ 完整的一條指令 ◦ e.g. `mov eax, 1` 的 來 麼 Mnemonic 助記符 ◦ e.g. `mov` 怎 西 東 8這 b ◦ e.g. `b8` • Opcode • Machine Code (opcode + operand) ◦ e.g. `b8 01 00 00 00`
101. x86-64 指令集架構： Machine Code 去查 x86-64 Instruction reference, from Intel® 64 and IA-32 Architectures Software Developer’s Manual.
102. x86-64 指令集架構： Machine Code 去查 x86-64 Instruction reference, from Intel® 64 and IA-32 Architectures Software Developer’s Manual.
103. x86-64 指令集架構： Machine Code 有好心人幫忙 整理的版本， 裡面有各種 Mnemonic對 應的 Instruction Opcode。 Source: x86 and amd64 instruction reference
104. x86-64 指令集架構： Machine Code 找到 mov 指令，並找到這條 mov r32, imm32。
105. x86-64 指令集架構： Machine Code mov r32, imm32 r32 代表 32 位元的暫存器（ Register） mov eax, 1 imm32 代表 32 位元的立即數
106. x86-64 指令集架構： Machine Code mov r32, imm32 r32 代表 32 位元的暫存器（ Register） mov eax, 1 imm32 代表 32 位元的立即數 剛看到 mov r32, imm32 的 opcode 是 B8+rd id。而在這 rd 為 0， 所以整個 Instruction 的 machine code 就會是 B8 加上 imm32， 我們將 1 使用小端序 32 位元表示就是 01 00 00 00，故為 B8 01 00 00 00
107. x86-64 指令集架構： Machine Code mov r32, imm32 r32 代表 32 位元的暫存器（ Register） mov eax, 1 imm32 代表 32 位元的立即數 剛看到 mov r32, imm32 的 opcode 是 B8+rd id。而在這 rd 為 0， 所以整個 Instruction 的 machine code 就會是 B8 加上 imm32， 我們將 1 使用小端序 32 位元表示就是 01 00 00 00，故為 B8 01 00 00 00
108. x86-64 指令集架構： Machine Code Source: X86-64 Instruction Encoding
109. x86-64 指令集架構： Machine Code
110. x86-64 指令集架構： Machine Code Source: x86-64 Opcode table cheatsheet
111. x86-64 指令集架構：常見 ISA • • ISA (Instruction Set Architecture) ◦ 剛剛範例都是用 mov 這個 Instruction 居多，但肯定不止這個 ◦ 一系列的 Instructions 組合就叫指令集，如此直觀 常見的 ISA 包括但不限於 ◦ x86-64，泛指基於 Intel 8086 且向下兼容的 ISA ◦ ARM（蘋果家族） ◦ RISC-V（嵌入式系統、物聯網等） ◦ MIPS（Nintendo 64、嵌入式系統）
112. x86-64 指令集架構： Assembly • 組合語言 Comes from 機器語言 • 剛剛看到的 mov eax, 1 就是 x86-64 組合語言 • ◦ 由一堆 Mnemonics 來幫助記憶 CPU 指令 ◦ 如此一來便不必瘋狂查表對照 x86-64 常見兩種格式 ◦ Intel Syntax（dest, src） ▪ ◦ mov eax, 1 AT&T Syntax (src, dest) ▪ movl $1, %eax
113. x86-64 指令集架構： Registers Source: Understanding 16-bit, 32-bit, and 64-bit Operand Behavior in Assembly
114. x86-64 指令集架構： GP Registers • General Purpose Registers 通用暫存器 • RAX ◦ • RBX ◦ • Base Register，指標基準或 Base Address RCX ◦ • Accumulator Register，常用於存放運算節果 Counter Register，用於迴圈計數 RDX ◦ Data Register，存放資料，作為 A 暫存器的擴展
115. x86-64 指令集架構： GP Registers • Index Registers ◦ RSI ▪ ◦ Source Index，資料來源位址 RDI ▪ Destination Index，資料目的地位址
116. x86-64 指令集架構： GP Registers • Pointer Registers ◦ RSP ▪ ◦ RBP ▪ ◦ Stack Pointer，指向 Stack 頂端 Base Pointer，指向 Stack 底端 RIP ▪ Instruction Pointer，指向下一條將執行的指令
117. x86-64 指令集架構： Flags Register Source: The universal antidebugger, x64 revamped
118. x86-64 指令集架構： Flags Register • 一如既往，64 位元叫 RFLAGS，32 位元叫 EFLAGS • 各個 Flag 是第幾位元，可以對照前頁的表 • CF • ◦ Carry Flag，表示運算中是否有進位 ◦ 有進位則為 1 PF ◦ Parity Flag ◦ 運算結果低八位元的 1 的數量若為偶數則為 1
119. x86-64 指令集架構： Flags Register • • • ZF • AC ◦ Zero Flag ◦ Alignment Check ◦ 結果為 0 時設為 1 ◦ 檢查記憶體訪問是否有對齊 SF ◦ Sign Flag ◦ 結果為負數設為 1 OF ◦ Overflow Flag ◦ 有號數溢位的時候設為 1
120. x86-64 指令集架構： Syntax • 這邊用 Intel Syntax 做介紹 • <mnemonics> destination, source [, optional] ◦ • • e.g. add eax, 5 [reg] 是取該 Register 指針的值 ◦ 用 C 語言概念理解： ◦ mov eax, rbx 可以表示為 eax = rbx; ◦ mov eax, [rbx] 可以表示為 eax = *rbx; ◦ 所以我們就可以用他做指針的偏移量取值等操作 用 ; 符號寫註解
121. x86-64 指令集架構： Moving Data
122. x86-64 指令集架構： Operations
123. x86-64 指令集架構： Operations
124. x86-64 指令集架構： Operations
125. x86-64 指令集架構： Bitwise
126. x86-64 指令集架構： Control Flow
127. x86-64 指令集架構： Control Flow
128. x86-64 指令集架構： Stack Operation pop rax 會把 stack 頂部的值取出放進 rax
129. Lab Time! Ez_asm0, Ez_asm1, Ez_asm2, Ez_asm3
130. Calling Conventions
131. Calling Conventions • ABI（Application Binary Interface）中很重要的部分 ◦ ABI 包含但不限於 Stack 對齊規則、Binary 格式、系統呼叫規範 等等 • 中文叫呼叫約定，或是呼叫慣例 • 規範函數的參數如何傳遞、回傳值、暫存器管理、Stack 管理等等 • 如果 Caller 和 Callee 沒有對齊相同的 Calling convention，Stack 的清 理就會亂掉導致程式崩潰 • 不同 OS 和不同的 CPU 架構都有不同的 Calling convention • Zig 的 extern、Python 的 ctypes、C++ 的 extern “C” 皆需指定
132. 工商時間！ Black-Hat-Zig
133. Calling Conventions
134. Calling Conventions：x86 & x86-64 • • • x86 有各種神奇的 Calling Conventions ◦ cdecl, stdcall, fastcall 等 ◦ 參數的傳遞大部分透過 Stack（右到左 ◦ 回傳值放在 edx:eax（高出 32 位元的部分放在 edx） x64 則是透過 Registers 傳參數 ◦ 大幅簡化設計，但 Windows 和 Linux 的 Registers 順序不同 ◦ 回傳值放在 rax 還有很多細節，有興趣可以參考 ◦ 引數傳遞和命名慣例、X86呼叫慣例、x64 呼叫慣例
135. Calling Conventions：Simple add
136. Calling Conventions：x86 cdecl • cdecl 是 C declaration 的縮寫 • 參數全部放到 Stack 上面 • 回傳值放在 edx:eax • C ABI 預設 • 更適合實作參數不定長的函數 ◦ e.g. printf() • Stack 由 Caller 清理 • 編譯後函數名 _func
137. Calling Conventions：x86 stdcall • Win32 Standard Call • 跟 cdecl 很相似 • 參數全部放到 Stack 上面 • 回傳值放在 edx:eax • Stack 由 Callee 清理 • 編譯後函數名 _func@<byte> ◦ <byte> 是參數總數大小
138. Calling Conventions：x86 fastcall • Microsoft/GCC fastcall • 前兩個參數放在 ecx, edx • 其他參數全部放到 Stack 上面 • 回傳值放在 edx:eax • Stack 由 Callee 清理 • 編譯後函數名 @func@<byte> ◦ <byte> 是參數總數大小
139. Calling Conventions：System Calls Source: Syscall.sh
140. Calling Conventions：Hi, reverser
141. Decompilers 初探
142. Decompilers 初探：Intro • Decompilers 最主要的用途是便於逆向工程師靜 態分析，協助逆向工程師理解 Binary 內部解構和 行為 • Disassemblers 可以把 Machine code 轉回 Assembly • Decompilers 可以把 Machine code 轉回 High level language，例如 Pseudo C / Pseudo Rust 等 • 常見的工具如 Binary Ninja、IDA、Ghidra 等 ◦ 本課程將使用 Binary Ninja
143. Decompilers 初探：Binary Ninja • 支援 x86、x86_64、ARM、PowerPC、RISC-V、 MIPS 等多種架構 • 同時是 Disassembler 和 Decompiler • 支援動態分析：Built-In Debugger • 很好讀懂的 CFG（Control Flow Graph）幫助判斷 Binary 執行流程 • 可擴充性高，提供 Python API，幫助自動化與 Plugins 編寫 • 很便於使用的 Patch 功能 • 總之十分強大，祝各位也成為 Binary Ninja！
144. Decompilers 初探：Cheat Sheet • `n`：重新命名變數 • [ESC]：跳回上個地方 • `y`：重新定義型別 • [Space]：Linear/Graph View 切換 • `r`：顯示為 ASCII 字元 • [F5] / [Tab]：反編譯/反組譯切換 • `h`：切換為 Hex View • u：取消定義 • `g`：跳至某處（Symbol或地址） • `;`：註解 • [Cmd+p] / [Ctrl+p]：指令面板 • [Cmd+f] / [Ctrl+f]：搜尋
145. Binary Ninja Demo BinjaDemo
146. Lab Time! chosen1
147. Debuggers
148. Debuggers：Intro • 剛剛的 Decompilers 是用來靜態分析，而 Debuggers 則是用來動態分析 • GDB (GNU Debugger) ◦ 用來分析 ELF ◦ 純 CLI 介面（或說 TUI） ◦ 可擴展性強，可以裝多種 Plugins ▪ • 個人是用 pwndbg 居多，本堂課會安裝這個 x64dbg（x32dbg & x64dbg 的總稱） ◦ 用來分析 PE 居多 ◦ 同樣支援插件和腳本 ◦ 有 GUI 可以使用，看起來會舒服一些
149. Debuggers：Debugging Principles Break point Modify Execute Examine Debugging 是一種透過「下斷點 → 執行 → 檢查 → 修改」四步驟 不斷循環，來觀察並控制程式行 為的技術。 藉由這個流程，開發者可以掌握 程式每一步的執行流程、記憶體 內容、參數傳遞、暫存器變化， 並對 Binary 的內部結構進行動 態分析。
150. Debuggers：Step Over v.s. Step Into 下個指令 吃飯 睡覺 打東東 吃飯 睡覺 打東東 吃飯 睡覺 打東東 Step Over Step Over
151. Debuggers：Step Over v.s. Step Into 下個指令 吃飯 睡覺 打東東 Step Into 睡覺 吃飯 點外賣 拿外賣 整個都是「吃飯」這個 Function 吃掉 打東東
152. Debuggers：GDB Cheat Sheet • ni：Next Instruction ◦ • • b [<symbol>/*<address>]： ◦ • 開始執行 設立斷點在某個符號（函數）或地址 continue / c： ◦ 繼續執行直到結束或是下個斷點 finish / fin：Finish ◦ • 執行下一行 Instruction 並追入 Function r / run <args>： ◦ • 執行下一行 Instruction（Step over） si：Step Into ◦ • context / ctx： ◦ • 執行到下一個 ret 指令 重新印出 Debug 上下文 exit / quit / q： ◦ 退出
153. Debuggers：GDB Cheat Sheet • info / i <subcommand>： 顯示資訊 ◦ 打印變數或運算式 ◦ info breakpoints / i b： ◦ pi ◦ ◦ 顯示所有斷點 info register / i r： ▪ ◦ 顯示函數反組譯組合語言 打印暫存器 rax 的值 p *ptr ▪ ◦ 打印變數 i 的地址 p $rax ▪ ◦ 打印變數 i 的值 p &i ▪ 刪除該斷點 disassemble / disass <function_name>： ◦ ◦ 顯示函數資訊 del <num>： ◦ ▪ 顯示所有暫存器資訊 info functions / i functions： ▪ • print / p ◦ ▪ • • 解引用並打印 ptr 指向的地址的 值 p/x 1234 ▪ 以 16 進位打印 1234
154. Debuggers：GDB Cheat Sheet • x ◦ Examine ，檢視記憶體位址的 內容 ◦ x/<count><format><unit> <address> ◦ <count>：要顯示幾個單位 ◦ <unit>：單位大小 ▪ ◦ b (byte), h (half), w (word), g (giant) <format>：資料格式 ▪ x (hex), s (string), c (char), i (instruction) ◦ x/8wx $rsp：以 hex 顯示 rsp 開始的 8 個 4-byte ◦ x/16bx 0xdeadbeef：以 hex 顯示 0xdeadbeef 開始的 16 個 bytes ◦ x/s $rsi：以字串顯示 rsi 的值 ◦ x/i $rip：以 Instruction 顯示 rip 的值
155. Lab Time! gdb101
156. Debuggers：x64dbg Cheat Sheet • F2：設立斷點 • F7：Step Into • F8：Step Over • F9：運行 • Ｇ：切換 CFG 與 Linear 視圖 • Ctrl + G：跳轉到某地址 • Ctrl + F：搜尋 • Ctrl + E：修改選中的記憶體 值（Patch/Edit） • 在不同的 Panel 操作會對應到不同的區塊 ◦ 比如在 Memory Dump 區域跳到某地址上 面的 CPU 區並不會跳轉
157. Debuggers：x64dbg Cheat Sheet Tool Bar Other Views Debugger Operations CPU Views Registers Memory Dump Registers
158. Lab Time! WinAntiDbg0x100
159. Lab Time! chosen0
160. Memory Layout
161. Memory Layout Low Address • .text section Stack 由高位址向低位址生長 ◦ 跟資料結構中的 Stack 很像 ◦ LIFO ◦ 同樣也有 Push/Pop 的操作 ◦ 低位址放上面是為了講解 .data section .bss section Heap Stack 的操作 • Read from program Heap 相反，由低位址向高位址生 長 Stack High Address Kernel space Init to 0
162. 我們把 Stack 放大看看！
163. Stack Frame
164. Stack Frame：Stack Frame Low Address • 每次的 Function Call 都會在 Stack 上 開闢一小塊區塊，屬於該函數專屬的記 憶體空間，稱為 Stack frame ◦ 其中會包含 Return address、 Local data 等等 ◦ Stack frame 3 當 Function 執行完後，Frame 會 Stack fram 2 被清除 Stack fram 1 High Address Stack fram 0
165. Stack Frame：Function Call
166. Stack Frame：Function Call 以這個函數為例
167. Stack Frame：Function Call
168. Stack Frame：Function Call ❓ ❓❓ ❓❓ ❓
169. Stack Frame：Functino Pro/Epilogue Low • • Function Prologue ◦ Function 開始前的前置作業 ◦ 規劃出所需的 Stack 空間 ◦ 建立新的 Function Context Prologue Epilogue Stack frame 3 Stack frame 3 Stack fram 2 Stack fram 2 Stack fram 1 Stack fram 1 Stack fram 0 Stack fram 0 Function Epilogue ◦ Function 結束後的後置作業 ◦ 把 Stack 還原成執行前的樣子 ◦ 清理自己的 Stack Frame High
170. Stack Frame：Functino Prologue Curr Low rsp High Previous stack frame rbp
171. Stack Frame：Functino Prologue Curr Low 還記得 call 這個指令等於 push rip ; return addr jmp <func> 這兩個指令 rsp High Previous stack frame rbp
172. Stack Frame：Functino Prologue Curr Low rsp High Previous stack frame rbp
173. Stack Frame：Functino Prologue Curr Low Pushed by caller rsp Return address High Previous stack frame rbp
174. Stack Frame：Functino Prologue Curr Low rsp Saved rbp Return address High Previous stack frame rbp
175. Stack Frame：Functino Prologue Low Curr rsp Saved rbp Return address High Previous stack frame rbp
176. Stack Frame：Functino Prologue Low Curr rsp Space of 0x10 for data rbp Saved rbp Return address High Previous stack frame
177. Stack Frame：Functino Prologue 至此，Function prologue 結束 Low Curr 至於 Function Body 不會也不該再 變更這個函數的 Stack frame 大小 rsp Space of 0x10 for data rbp Saved rbp 我們接著看 Function Epilogue Return address High Previous stack frame
178. Stack Frame：Functino Epilogue Low rsp Space of 0x10 for data rbp Saved rbp Return address Curr High Previous stack frame
179. Stack Frame：Functino Epilogue Low leave 指令其實等於 mov rsp, rbp pop rbp 這兩個指令 rsp Space of 0x10 for data rbp Saved rbp Return address Curr High Previous stack frame
180. Stack Frame：Functino Epilogue Low rsp Space of 0x10 for data rbp Saved rbp Return address Curr = mov rsp, rbp + pop rbp High Previous stack frame
181. Stack Frame：Functino Epilogue Low Space of 0x10 for data rbp Saved rbp Return address = mov rsp, rbp + pop rbp High Curr Previous stack frame rsp
182. Stack Frame：Functino Epilogue Low Space of 0x10 for data Saved rbp rsp Return address = mov rsp, rbp + pop rbp High Curr Previous stack frame rbp
183. Stack Frame：Functino Epilogue Low ret 指令其實等於 pop rip 這兩個指令 Space of 0x10 for data Saved rbp rsp Return address = mov rsp, rbp + pop rbp High Curr Previous stack frame rbp
184. Stack Frame：Functino Epilogue Low Space of 0x10 for data Saved rbp rsp Return address Curr = pop rip High Previous stack frame rbp
185. Stack Frame：Functino Epilogue Low Space of 0x10 for data Saved rbp Return address rsp Curr = pop rip High Previous stack frame rbp
186. Stack Frame：Functino Epilogue Low 至此，Function epilogue 也結束了 Stack 也變回了函數執行前的樣子 讓我們來比一比 Space of 0x10 for data Saved rbp Return address rsp Curr = pop rip High Previous stack frame rbp
187. Stack Frame：Functino Epilogue Low Low Before After Space of 0x10 for data Saved rbp Return address rsp High Previous stack frame rbp rsp High Previous stack frame rbp
188. Stack Frame：Let’s Do It Again!
189. Stack Frame：Let’s Do It Again! Low Curr rsp High Previous stack frame rbp
190. Stack Frame：Let’s Do It Again! Low Curr rsp <main> return address High Previous stack frame rbp
191. Stack Frame：Let’s Do It Again! Low Curr rsp <main> saved rbp <main> return address High Previous stack frame rbp
192. Stack Frame：Let’s Do It Again! Low rsp Curr <main> saved rbp <main> return address High Previous stack frame rbp
193. Stack Frame：Let’s Do It Again! Low rsp <main> 0x10 space rbp Curr <main> saved rbp <main> return address High Previous stack frame
194. Stack Frame：Let’s Do It Again! Low rsp <first…> return address <main> 0x10 space rbp <main> saved rbp <main> return address Curr High Previous stack frame
195. Stack Frame：Let’s Do It Again! Curr Low rsp <first…> return address <main> 0x10 space rbp <main> saved rbp <main> return address High Previous stack frame
196. Stack Frame：Let’s Do It Again! Curr Low rsp <first…> saved rbp <first…> return address <main> 0x10 space rbp <main> saved rbp <main> return address High Previous stack frame
197. Stack Frame：Let’s Do It Again! Low Curr rsp <first…> saved rbp <first…> return address <main> 0x10 space <main> saved rbp <main> return address High Previous stack frame rbp
198. Stack Frame：Let’s Do It Again! Low rsp <first…> 0x10 space Curr rbp <first…> saved rbp <first…> return address <main> 0x10 space <main> saved rbp <main> return address High Previous stack frame
199. Stack Frame：Let’s Do It Again! Low <first…> 0x10 space rbp <first…> saved rbp Curr <first…> return address <main> 0x10 space <main> saved rbp <main> return address High Previous stack frame rsp
200. Stack Frame：Let’s Do It Again! Low <first…> 0x10 space <first…> saved rbp rsp Curr <first…> return address <main> 0x10 space rbp <main> saved rbp <main> return address High Previous stack frame
201. Stack Frame：Let’s Do It Again! Low <first…> 0x10 space <first…> saved rbp <first…> return address Curr rsp <main> 0x10 space rbp <main> saved rbp <main> return address Next High Previous stack frame
202. Stack Frame：Let’s Do It Again! Low <first…> 0x10 space <first…> saved rbp <first…> return address <main> 0x10 space rbp <main> saved rbp <main> return address Curr High Previous stack frame rsp
203. Stack Frame：Let’s Do It Again! Low <first…> 0x10 space <first…> saved rbp <first…> return address <main> 0x10 space <main> saved rbp rsp <main> return address Curr High Previous stack frame rbp
204. Stack Frame：Let’s Do It Again! Low <first…> 0x10 space <first…> saved rbp <first…> return address <main> 0x10 space <main> saved rbp <main> return address rsp Curr High Previous stack frame rbp
205. Stack Frame：Let’s Do It Again! Low Low Before After <first…> 0x10 space <first…> saved rbp <first…> return address <main> 0x10 space <main> saved rbp <main> return address rsp High Previous stack frame rbp rsp High Previous stack frame rbp
206. Lab Time! xor-checker
207. Data Alignment
208. Data Alignment • • 我們寫 C 語言的時候會指定很多資料的型別 ◦ 這些資料會存在記憶體中 ◦ 每個資料大小不一 ◦ e.g. int, char, long, long long 等 本章節要討論不同型別的資料如何存儲
209. Data Alignment 8 bytes 一塊記憶體空間 （x86_64）
210. Data Alignment：Basic Types int main() { long long a; // 8 bytes } long long a
211. Data Alignment：Basic Types int main() { long long a; // 8 bytes int b; // 4 bytes } int b long long a
212. Data Alignment：Basic Types int main() { long long a; // 8 bytes int b; // 4 bytes int c; // 4 bytes } int b int c long long a
213. Data Alignment：Basic Types int main() { long long a; // 8 bytes int b; // 4 bytes int c; // 4 bytes char d; // 1 byte } d int b int c long long a
214. Data Alignment：Basic Types int main() { long long a; // 8 bytes int b; // 4 bytes int c; // 4 bytes char d; // 1 byte long long e; // 8 bytes } long long e d 7 bytes padding int b int c long long a
215. Data Alignment：Basic Types int main() { long long a; // 8 bytes int b; // 4 bytes int c; // 4 bytes char d; // 1 byte long long e; // 8 bytes } 證明一下 long long e d 7 bytes padding int b int c long long a
216. Data Alignment：Proof w/ GDB int main() { long long a; // 8 bytes int b; // 4 bytes int c; // 4 bytes char d; // 1 byte long long e; // 8 bytes }
217. Data Alignment：Proof w/ GDB long long e d 7 bytes padding int b int c long long a
218. Data Alignment：Proof w/ GDB long long e Padding 是為了讓 CPU 在讀取記憶體時 d 7 bytes padding 有更好的效能，否則若常常要在未對齊的 記憶體中讀取會極大的降低效能 int b int c long long a 這也是為什麼在 Struct 中的成員排列順 序會影響到執行的效能！
219. Data Alignment：Pointers int main() { long long a = 0x1234; // 8 bytes int b = 0x5678; // 4 bytes long long *ptr_a = &a; // 8 bytes int *ptr_b = &b; // 8 bytes } // NOTE: // pointers are same size // x86: 4 bytes // x86_64: 8 bytes int *ptr_b long long *ptr_a int b long long a
220. Data Alignment：Pointers int main() { long long a = 0x1234; // 8 bytes int b = 0x5678; // 4 bytes long long *ptr_a = &a; // 8 bytes int *ptr_b = &b; // 8 bytes int *ptr_b long long *ptr_a int b 引入「地址」的概念 } // NOTE: // pointers are same size // x86: 4 bytes // x86_64: 8 bytes long long a
221. Data Alignment：Pointers int main() { long long a = 0x1234; // 8 bytes int b = 0x5678; // 4 bytes long long *ptr_a = &a; // 8 bytes int *ptr_b = &b; // 8 bytes } // NOTE: // pointers are same size // x86: 4 bytes // x86_64: 8 bytes 0x1012 0x1024 0x5678 0x1012 0x1234 0x1000 0x1008 0x1016 0x1024 0x1032 0x1040 0x1048
222. Enum & Struct
223. Enum & Struct 0x1048
224. Enum & Struct：Add Types In Binja
225. Enum & Struct：Add Types In Binja • Create Types from C Source ◦ 可以用 C 語法創建 Struct、Enum、Union 等
226. Enum & Struct：Add Types In Binja • Import Header File ◦ 可以從本地匯入 Header 文件，直接獲取 該 Header 文件中的所有 Types，例如 SDL_events.h
227. Hands-On Lab Time! FollowTheLinks
228. Enum & Struct：LostInLinks • Reconnaissance ◦ 先看 main 函數 ◦ 這題沒有 strip，大家看起來應該比較輕鬆 ◦ read_flag 會讀取 flag.txt ◦ encrypt_flag 加密 flag ◦ write_encrypted 把加密過的輸出到 encrypted.txt ◦
229. Enum & Struct：LostInLinks • encrypt_flag ◦ 這應該是我們最關心的 ◦ 有個 for 迴圈會去對 (arg1 + (&var_d8)[i]) 和 var_15 做 XOR，看起來是加密的重點 ◦ 每次循環結束會去把 (result_1 + 8) 的值指向 result ◦ 再讓 result = result_1 ◦ 上面的操作看起來很多地址偏移量 和指針操作，遇到這種情況， 大機率該變量是較複雜的型別， 如 union 或 struct ◦ 前面取了 offset 0，後面又取了 offset 8，猜測為 struct
230. Enum & Struct：LostInLinks • encrypt_flag ◦ 原本的 result 指向 null ◦ 後續每次迭代都將新的 struct 指向舊的 struct（result），再把 result 指向新的 struct （聽不懂沒事，待會圖解） ◦ 還有個很怪的地方，前面的 var_d8 到 var_c4 看起來都是一個 int，且後面是 透過 [i] 存取，前面卻被分為多個變 數，感覺原本應該是個 array • 結論： ◦ var_d8 應該是個 array，長度 0x2d + 1 ◦ result_1 應該是 struct，大小 0x10
231. Enum & Struct：LostInLinks • 還原 var_d8：array，長度 0x2d + 1，等於 0x2e，等於 46
232. Enum & Struct：LostInLinks • 還原效果
233. Enum & Struct：LostInLinks • 還原 result_1 ◦ struct，大小 0x10 ◦ offset 8 為 x64 指針， 大小為 8，剩下 8 bytes ◦ offset 0 與 var_15 XOR， 推測為一個 char
234. Enum & Struct：LostInLinks • 還原 result_1 ◦ struct，大小 0x10 ◦ offset 8 為 x64 指針， 大小為 8，剩下 8 bytes ◦ offset 0 與 var_15 XOR， 推測為一個 char
235. Enum & Struct：LostInLinks • 還原 result_1
236. Enum & Struct：LostInLinks • 還原 result_1
237. Enum & Struct：LostInLinks • 還原結果
238. Enum & Struct：LostInLinks result NULL
239. Enum & Struct：LostInLinks result result_1 NULL
240. Enum & Struct：LostInLinks result result_1 NULL
241. Enum & Struct：LostInLinks result result_1 NULL
242. Enum & Struct：LostInLinks result result_2 result_1 NULL
243. Enum & Struct：LostInLinks result result_2 result_1 NULL
244. Enum & Struct：LostInLinks result result_2 result_1 NULL
245. Enum & Struct：LostInLinks 最主要的難點講解完了 result result_2 剩下的交給你們！ result_1 NULL
246. Enum & Struct：LostInLinks 給大家一點提示！ result result_2 result_1 NULL
247. Enum & Struct：LostInLinks Hint result result_n ………… result_2 result_1 LIFO (Last In First Out) NULL
248. Q&A
249. Credits & References
250. Credits & References • Kazma Reverse Engineering Course • Kazma-Windows-Reverse-Engineering-Cour se • TwinkleStar03 Reverse Basics
251. Credits & References • Kazma Reverse Engineering Course • Kazma-Windows-Reverse-Engineering-Cour se • 修煉吧！忍者們！ TwinkleStar03 Reverse Basics
252. Other Resources
253. Other Resources • HackTheBox Challenges • Crackmes.one • Binary Ninja Blog • Hex-Rays Blog • Flare-On Challenges • The Cyber Yeti • Malware Unicorn
254. Thanks For Listening!