2022-06-20

컴퓨터가 숫자를 읽는 방식

빅 에디안

리틀에디안
nibble (4bit) : 
CHAR (1byte) : 1A 2B EC 56
WORD (2byte) :  1A 2B EC 56
DWORD (4byte) :  1A 2B EC 56

--> 리틀 에디안으로 읽을 시
 
CHAR (1byte) : 56 EC 2B 1A
WORD (2byte) : EC 56 1A 2B 
DWORD (4byte) : EC 56 1A 2B

ollydbg

0000 0000 ~ FFFF FFFF (32bit)
00000000 00000000 ~ FFFFFFFF FFFFFFFF (64bit)

모든 명령어의 구조는
OPcode + Operand로 이루어져 있다
(실행 명령) + (주소)

cd /etc/networks/interface
vi ./test.txt
mv ./test.txt ../test.txt  ==> Opcode + Operand + Operand
Opcode + Operand + Operand + Operand



CPU 에 붙어있는 저장장치 : 레지스터
1) 범용 레지스터
1-1) 산술 레지스터
      - AX(Accumulation) 누산기, 리턴값
      - BX(Base) 주소 지정
      - CX(Counter) 반복문 
      - DX(Data) AX 보조
1-2) 인덱스 레지스터
      - SI DI
1-3) 포인터 레지스터***
      - SP BP IP(다음 실행할 명령어 주소)

2) 플레그 레지스터

Zero Flag : 연산값이 0일 경우 1로 설정된다.
Carry Flag : 연산값에 올림 및 빌림이 있을 경우 1로 설정된다
Sign Flag : 연산값의 최상의 비트가 1일 경우 1로 설정된다.



앞에 E가 붙으면 32bit 프로그램
앞에 R이 붙으면 64bit 프로그램

ollydbg 기본 사용법

실행
F7(한줄 실행, 세부항목 O)
F8(한줄 실행, 세부항목 X)
F9(전체 실행)

다시 시작
Ctrl + F2

BreakPoint
F2
실행을 했을 때 BP에서 멈추도록 설정



00401144에서 프로세스 상태가 대기로 변경


if( 1 == 2 ){
asdfsadfsadfsdaf
}
  ==> 리버싱을 하면

cmp [0000 0001] A //  [0000 0010] B

A-B = 값이 0이면 같은거야
A-B = 값이 0이면 Zero Flag가 올라오는거야


jmp -> 해당 주소로 점프하시오
jnz ->

1000 + 1000 = 0000
       Carry Flag가 1로 올라간다

--> 0001 0000



STACK : 0019FF2C [00401149]

CALL 함수를 들어가는 경우 다음 주소가 Stack에 저장이 되며,
RET을 통해서 저장된 주소로 복귀가 된다.