J & J - 정성태의 닷넷 이야기

사용자

메뉴

최근 덧글

[정성태] 그냥 RSS Reader 기능과 약간의 UI 편의성 때문에 사용...[이종효] 오래된 소프트웨어는 보안 위협이 되기도 합니다. 혹시 어떤 기능...[정성태] @Keystroke IEEE의 문서를 소개해 주시다니... +_...[손민수 (Keystroke)] 괜히 듀얼채널 구성할 때 한번에 같은 제품 사라고 하는 것이 아...[정성태] 전각(Full-width)/반각(Half-width) 기능을 토...[정성태] Vector에 대한 내용은 없습니다. Vector가 닷넷 BCL...[orion] 글 읽고 찾아보니 디자인 타임에는 InitializeCompon...[orion] 연휴 전에 재현 프로젝트 올리자 생각해 놓고 여의치 않아서 못 ...[정성태] 아래의 글에 정리했으니 참고하세요. C# - Typed D...[정성태] 간단한 재현 프로젝트라도 있을까요? 저런 식으로 설명만 해...

글쓰기

제목

이름

암호

전자우편

HTML

홈페이지

유형

내용

<div style='display: inline'>
<h1 style='font-family: Malgun Gothic, Consolas; font-size: 20pt; color: #006699; text-align: center; font-weight: bold'>x64 환경에서 구현하는 다양한 Trampoline 기법</h1>

예전 글에서 Trampoline을 이용한 API 후킹을 설명했는데요, 
 
<pre style='margin: 10px 0px 10px 10px; padding: 10px 0px 10px 10px; background-color: #fbedbb; overflow: auto; font-family: Consolas, Verdana;' >
Win32 API 후킹 - Trampoline API Hooking
; <a target='tab' href='https://www.sysnet.pe.kr/2/0/1231'>https://www.sysnet.pe.kr/2/0/1231</a>
</pre>
 
해당 예제 코드는 x86 환경을 기준으로 작성한 것입니다. 이후, x64에 대해서는 EasyHook으로 넘어갔는데, 
 
<pre style='margin: 10px 0px 10px 10px; padding: 10px 0px 10px 10px; background-color: #fbedbb; overflow: auto; font-family: Consolas, Verdana;' >
API Hooking - 64비트를 고려해야 한다면? EasyHook!
; <a target='tab' href='https://www.sysnet.pe.kr/2/0/1242'>https://www.sysnet.pe.kr/2/0/1242</a>
</pre>
 
마침 x64 환경에서의 Trampoline 구현에 대해 다양한 방법을 설명한 멋진 글이 있어, 
 
<pre style='margin: 10px 0px 10px 10px; padding: 10px 0px 10px 10px; background-color: #fbedbb; overflow: auto; font-family: Consolas, Verdana;' >
Trampolines In x64
; <a target='tab' href='https://www.ragestorm.net/blogs/?p=107'>https://www.ragestorm.net/blogs/?p=107</a>
</pre>
 
간단하게 위의 글을 의역/정리해 보겠습니다. 
 
<hr style='width: 50%' /> 
 
<a name='type1'></a>
<pre style='margin: 10px 0px 10px 10px; padding: 10px 0px 10px 10px; background-color: #fbedbb; overflow: auto; font-family: Consolas, Verdana;' >
1) 5바이트 패치

JMP rel32
</pre>
 
가장 단순한 코드로 1바이트 JMP 코드와 4바이트 변위값으로 점프할 수 있는 구문입니다. 사실 가장 깔끔한 방법이긴 한데, 애석하게도 4바이트 내에서 점프 위치를 표현하기 때문에 현재 RIP 주소를 기준으로 +/- 2GB 범위 내에서만 이동할 수 있다는 단점이 있습니다. 바로 이런 단점을 극복하기 위해 이하 4가지의 방법이 나옵니다. 
 
<a name='type2'></a>
<pre style='margin: 10px 0px 10px 10px; padding: 10px 0px 10px 10px; background-color: #fbedbb; overflow: auto; font-family: Consolas, Verdana;' >
2) 12바이트 패치

MOV RAX, imm64
JMP RAX
</pre>
 
JMP 구문이 받아들일 수 있는 상숫값이 4바이트라는 제약을 벗어나기 위해서는, 레지스터를 오퍼랜드로 받는 JMP를 사용하면 됩니다. 당연히 RAX 레지스터가 8바이트인 만큼 x64 주소 공간의 어디라도 자유롭게 점프할 수 있습니다. 반면, RAX 레지스터(또는, 상황에 따라 그 외의 레지스터)를 사용하므로 자칫 RAX로 전달하는 값이 변조가 된다는 위험이 있습니다. 대개의 경우 RAX는 volatile 레지스터이기 때문에 이것을 이용해 값을 전달하는 경우는 없으므로 사용상 크게 제약은 아니지만 그래도 100%라고 장담할 수는 없습니다. 
 
참고로, 다음의 코드 역시 MOV/JMP와 동일한 역할을 합니다. 
 
<div style='BACKGROUND-COLOR: #ccffcc; padding: 10px 10px 5px 10px; MARGIN: 0px 10px 10px 10px; FONT-FAMILY: Malgun Gothic, Consolas, Verdana; COLOR: #005555'>
// 12바이트 패치 - 2번 방법의 JMP 구문을 PUSH/RET 조합으로 변경 
 
MOV RAX, imm64 
PUSH RAX 
RET 
</div> 
 
<pre style='margin: 10px 0px 10px 10px; padding: 10px 0px 10px 10px; background-color: #fbedbb; overflow: auto; font-family: Consolas, Verdana;' >
3) 14바이트 또는 6바이트 패치

PUSH imm32
MOV [RSP+4], imm32
RET
</pre>
 
재미있는 트릭입니다. ^^ PUSH 역시 JMP와 마찬가지로 상숫값 오퍼랜드인 경우 4바이트가 최대라는 제약을 극복하기 위해 MOV 문으로 상위 4바이트 주소를 채운 후 RET 하는 것으로 8바이트 주소 이동을 하고 있습니다. 게다가 상위 바이트가 필요 없다면 "MOV [RSP+4], imm32" 코드를 제거할 수도 있으므로 14바이트 또는 6바이트로 표현이 가능합니다. 
 
결정적으로 이 방법은 레지스터를 전혀 건드리지 않기 때문에 부작용을 최소화할 수 있습니다. 
 
<pre style='margin: 10px 0px 10px 10px; padding: 10px 0px 10px 10px; background-color: #fbedbb; overflow: auto; font-family: Consolas, Verdana;' >
4) 연속 14바이트, 데이터 제외한 코드만 6바이트

JMP [RIP+0] // == JMP [0x00000000]
DQ:
</pre>
 
위의 상황을 간단하게 예를 들면 다음과 같은 식으로 패치를 하는 것입니다. 
 
<div style='BACKGROUND-COLOR: #ccffcc; padding: 10px 10px 5px 10px; MARGIN: 0px 10px 10px 10px; FONT-FAMILY: Malgun Gothic, Consolas, Verdana; COLOR: #005555'>
[x86] 
ff 25 00 00 00 00 // JMP [EIP + 0] 
00 00 00 00 // DWORD_VALUE == 점프할 주소 
 
[x64] 
ff 25 00 00 00 00 // JMP [RIP + 0] 
00 00 00 00 00 00 00 00 // QWORD_VALUE == 점프할 주소 
</div> 
 
이런 경우 점프 대상이 되는 주소를 JMP 문 이후의 8바이트 영역에 함께 써넣어 그 위치를 참조해 JMP하도록 만들었습니다. 3번 방법과 마찬가지로 14바이트가 소비되며 어떠한 레지스터도 건드리지 않습니다. 
 
하지만, 치명적인 단점이 있는데 저런 식으로 패치한 곳을 다른 프로그램에서 또다시 고유의 방식으로 패치하려는 경우라면 "qword_value"에 해당하는 데이터가 적합한 기계어가 아닐 수 있기 때문에 해당 코드를 분석하는 disassembler 엔진은 최악의 경우 crash까지 발생시킬 수 있습니다. 그래도 [RIP + imm32]라는 것을 감안하면 일단 점프할 주소 8바이트에 대해 +/- 2GB 범위 내에만 기록해 두었다면 단 6바이트의 패치만으로 구현할 수 있다는 나름의 장점을 가지고 있습니다. 
 
관련해서 다음의 글도 도움이 될 것입니다. 
 
<pre style='margin: 10px 0px 10px 10px; padding: 10px 0px 10px 10px; background-color: #fbedbb; overflow: auto; font-family: Consolas, Verdana;' >
Assembly Challenge : Jump to a non-relative address without using registers
; <a target='tab' href='https://rayanfam.com/topics/assembly-challenge-jump-to-a-non-relative-address-without-using-registers/'>https://rayanfam.com/topics/assembly-challenge-jump-to-a-non-relative-address-without-using-registers/</a>
</pre>
 
<pre style='margin: 10px 0px 10px 10px; padding: 10px 0px 10px 10px; background-color: #fbedbb; overflow: auto; font-family: Consolas, Verdana;' >
5) 코드만 12바이트

MOV RAX, [imm64] // imm64 == PointerToAdderss64 라벨 위치의 주소
JMP RAX
...
...
PointerToAdderss64:
DQ
</pre>
 
예를 들어 0x807060504030201 주소에 점프할 대상 주솟값이 있다고 가정하면 다음과 같이 12바이트의 코드를 패치하는 것입니다. 
 
<pre style='margin: 10px 0px 10px 10px; padding: 10px 0px 10px 10px; background-color: #fbedbb; overflow: auto; font-family: Consolas, Verdana;' >
48a10102030405060708 MOV RAX, [0x807060504030201]
ffe0 JMP RAX
</pre>
 
4번 방식과 유사하게 점프할 주소를 패치할 코드와 다른 곳에 써 둘 수 있지만, imm64라는 점에서 그 범위에 제약이 없다는 장점이 있습니다. 즉, 주솟값을 제외한다면 직접적인 패치 코드는 12바이트면 됩니다. 하지만 사용 대상이 되는 레지스터(위의 예에서는 RAX)가 변조된다는 단점이 있습니다. 
 
<hr style='width: 50%' /> 
 
덧글에 보면 재미있는 코드가 또 있습니다. 2번 방법을 사용하면서 RAX 변조를 막을 수 있는 건데요, 
 
<pre style='margin: 10px 0px 10px 10px; padding: 10px 0px 10px 10px; background-color: #fbedbb; overflow: auto; font-family: Consolas, Verdana;' >
push rax ; 1 byte
mov rax, &lt; addr &gt; ; 10 bytes
xchg rax, [rsp] ; 4 bytes
ret ; 1 byte
</pre>
 
아쉽게도 16바이트가 소비되며 결과적으로 봤을 때 3번과 비교해 딱히 장점이 없습니다. 
 
가장 재미있는 덧글은 마지막의 것입니다. ^^ 그러니까 trampoline 같은 것을 사용해 왜? 가로채기를 해야 하는지에 대한 <a target='tab' href='https://niemand.com.ar/2019/01/01/how-to-hook-directx-11-imgui/'>궁극적인 이유를 링크</a>하면서 간단하게 이런 후킹 처리를 <a target='tab' href='https://www.sysnet.pe.kr/2/0/11764'>Detours 라이브러리</a>로 처리할 거라고 합니다.

<hr />[이 글에 대해서 여러분들과 의견을 공유하고 싶습니다. 틀리거나 미흡한 부분 또는 의문 사항이 있으시면 언제든 댓글 남겨주십시오.]

</div>

첨부파일

스팸 방지용 인증 번호

1978 (왼쪽의 숫자를 입력해야 합니다.)