Microsoft MVP성태의 닷넷 이야기
디버깅 기술: 163. x64 환경에서 구현하는 다양한 Trampoline 기법 [링크 복사], [링크+제목 복사],
조회: 13913
글쓴 사람
정성태 (techsharer at outlook.com)
홈페이지
첨부 파일
 
(연관된 글이 1개 있습니다.)
(시리즈 글이 16개 있습니다.)
VC++: 36. Detours 라이브러리를 이용한 Win32 API - Sleep 호출 가로채기
; https://www.sysnet.pe.kr/2/0/631

.NET Framework: 187. 실행 시에 메서드 가로채기 - CLR Injection: Runtime Method Replacer 개선
; https://www.sysnet.pe.kr/2/0/942

디버깅 기술: 40. 상황별 GetFunctionPointer 반환값 정리 - x86
; https://www.sysnet.pe.kr/2/0/1027

VC++: 56. Win32 API 후킹 - Trampoline API Hooking
; https://www.sysnet.pe.kr/2/0/1231

VC++: 57. 웹 브라우저에서 Flash만 빼고 다른 ActiveX를 차단할 수 있을까?
; https://www.sysnet.pe.kr/2/0/1232

VC++: 58. API Hooking - 64비트를 고려해야 한다면? EasyHook!
; https://www.sysnet.pe.kr/2/0/1242

개발 환경 구성: 419. MIT 라이선스로 무료 공개된 Detours API 후킹 라이브러리
; https://www.sysnet.pe.kr/2/0/11764

.NET Framework: 883. C#으로 구현하는 Win32 API 후킹(예: Sleep 호출 가로채기)
; https://www.sysnet.pe.kr/2/0/12132

.NET Framework: 890. 상황별 GetFunctionPointer 반환값 정리 - x64
; https://www.sysnet.pe.kr/2/0/12143

.NET Framework: 891. 실행 시에 메서드 가로채기 - CLR Injection: Runtime Method Replacer 개선 - 두 번째 이야기
; https://www.sysnet.pe.kr/2/0/12144

디버깅 기술: 163. x64 환경에서 구현하는 다양한 Trampoline 기법
; https://www.sysnet.pe.kr/2/0/12148

.NET Framework: 895. C# - Win32 API를 Trampoline 기법을 이용해 C# 메서드로 가로채는 방법
; https://www.sysnet.pe.kr/2/0/12150

.NET Framework: 896. C# - Win32 API를 Trampoline 기법을 이용해 C# 메서드로 가로채는 방법 - 두 번째 이야기 (원본 함수 호출)
; https://www.sysnet.pe.kr/2/0/12151

.NET Framework: 897. 실행 시에 메서드 가로채기 - CLR Injection: Runtime Method Replacer 개선 - 세 번째 이야기(Trampoline 후킹)
; https://www.sysnet.pe.kr/2/0/12152

.NET Framework: 898. Trampoline을 이용한 후킹의 한계
; https://www.sysnet.pe.kr/2/0/12153

.NET Framework: 968. C# 9.0의 Function pointer를 이용한 함수 주소 구하는 방법
; https://www.sysnet.pe.kr/2/0/12409




x64 환경에서 구현하는 다양한 Trampoline 기법

예전 글에서 Trampoline을 이용한 API 후킹을 설명했는데요,

Win32 API 후킹 - Trampoline API Hooking
; https://www.sysnet.pe.kr/2/0/1231

해당 예제 코드는 x86 환경을 기준으로 작성한 것입니다. 이후, x64에 대해서는 EasyHook으로 넘어갔는데,

API Hooking - 64비트를 고려해야 한다면? EasyHook!
; https://www.sysnet.pe.kr/2/0/1242

마침 x64 환경에서의 Trampoline 구현에 대해 다양한 방법을 설명한 멋진 글이 있어,

Trampolines In x64
; https://www.ragestorm.net/blogs/?p=107

간단하게 위의 글을 의역/정리해 보겠습니다.




1) 5바이트 패치

JMP rel32

가장 단순한 코드로 1바이트 JMP 코드와 4바이트 변위값으로 점프할 수 있는 구문입니다. 사실 가장 깔끔한 방법이긴 한데, 애석하게도 4바이트 내에서 점프 위치를 표현하기 때문에 현재 RIP 주소를 기준으로 +/- 2GB 범위 내에서만 이동할 수 있다는 단점이 있습니다. 바로 이런 단점을 극복하기 위해 이하 4가지의 방법이 나옵니다.

2) 12바이트 패치

MOV RAX, imm64
JMP RAX

JMP 구문이 받아들일 수 있는 상숫값이 4바이트라는 제약을 벗어나기 위해서는, 레지스터를 오퍼랜드로 받는 JMP를 사용하면 됩니다. 당연히 RAX 레지스터가 8바이트인 만큼 x64 주소 공간의 어디라도 자유롭게 점프할 수 있습니다. 반면, RAX 레지스터(또는, 상황에 따라 그 외의 레지스터)를 사용하므로 자칫 RAX로 전달하는 값이 변조가 된다는 위험이 있습니다. 대개의 경우 RAX는 volatile 레지스터이기 때문에 이것을 이용해 값을 전달하는 경우는 없으므로 사용상 크게 제약은 아니지만 그래도 100%라고 장담할 수는 없습니다.

참고로, 다음의 코드 역시 MOV/JMP와 동일한 역할을 합니다.

// 12바이트 패치 - 2번 방법의 JMP 구문을 PUSH/RET 조합으로 변경

MOV RAX, imm64
PUSH RAX
RET


3) 14바이트 또는 6바이트 패치

PUSH imm32
MOV [RSP+4], imm32
RET

재미있는 트릭입니다. ^^ PUSH 역시 JMP와 마찬가지로 상숫값 오퍼랜드인 경우 4바이트가 최대라는 제약을 극복하기 위해 MOV 문으로 상위 4바이트 주소를 채운 후 RET 하는 것으로 8바이트 주소 이동을 하고 있습니다. 게다가 상위 바이트가 필요 없다면 "MOV [RSP+4], imm32" 코드를 제거할 수도 있으므로 14바이트 또는 6바이트로 표현이 가능합니다.

결정적으로 이 방법은 레지스터를 전혀 건드리지 않기 때문에 부작용을 최소화할 수 있습니다.

4) 연속 14바이트, 데이터 제외한 코드만 6바이트

JMP [RIP+0] // == JMP [0x00000000]
DQ:

위의 상황을 간단하게 예를 들면 다음과 같은 식으로 패치를 하는 것입니다.

[x86]
ff 25 00 00 00 00 // JMP [EIP + 0]
00 00 00 00 // DWORD_VALUE == 점프할 주소

[x64]
ff 25 00 00 00 00 // JMP [RIP + 0]
00 00 00 00 00 00 00 00 // QWORD_VALUE == 점프할 주소


이런 경우 점프 대상이 되는 주소를 JMP 문 이후의 8바이트 영역에 함께 써넣어 그 위치를 참조해 JMP하도록 만들었습니다. 3번 방법과 마찬가지로 14바이트가 소비되며 어떠한 레지스터도 건드리지 않습니다.

하지만, 치명적인 단점이 있는데 저런 식으로 패치한 곳을 다른 프로그램에서 또다시 고유의 방식으로 패치하려는 경우라면 "qword_value"에 해당하는 데이터가 적합한 기계어가 아닐 수 있기 때문에 해당 코드를 분석하는 disassembler 엔진은 최악의 경우 crash까지 발생시킬 수 있습니다. 그래도 [RIP + imm32]라는 것을 감안하면 일단 점프할 주소 8바이트에 대해 +/- 2GB 범위 내에만 기록해 두었다면 단 6바이트의 패치만으로 구현할 수 있다는 나름의 장점을 가지고 있습니다.

관련해서 다음의 글도 도움이 될 것입니다.

Assembly Challenge : Jump to a non-relative address without using registers
; https://rayanfam.com/topics/assembly-challenge-jump-to-a-non-relative-address-without-using-registers/

5) 코드만 12바이트

MOV RAX, [imm64] // imm64 == PointerToAdderss64 라벨 위치의 주소
JMP RAX
...
...
PointerToAdderss64:
DQ

예를 들어 0x807060504030201 주소에 점프할 대상 주솟값이 있다고 가정하면 다음과 같이 12바이트의 코드를 패치하는 것입니다.

48a10102030405060708 MOV RAX, [0x807060504030201]
ffe0 JMP RAX

4번 방식과 유사하게 점프할 주소를 패치할 코드와 다른 곳에 써 둘 수 있지만, imm64라는 점에서 그 범위에 제약이 없다는 장점이 있습니다. 즉, 주솟값을 제외한다면 직접적인 패치 코드는 12바이트면 됩니다. 하지만 사용 대상이 되는 레지스터(위의 예에서는 RAX)가 변조된다는 단점이 있습니다.




덧글에 보면 재미있는 코드가 또 있습니다. 2번 방법을 사용하면서 RAX 변조를 막을 수 있는 건데요,

push rax ; 1 byte
mov rax, < addr > ; 10 bytes
xchg rax, [rsp] ; 4 bytes
ret ; 1 byte

아쉽게도 16바이트가 소비되며 결과적으로 봤을 때 3번과 비교해 딱히 장점이 없습니다.

가장 재미있는 덧글은 마지막의 것입니다. ^^ 그러니까 trampoline 같은 것을 사용해 왜? 가로채기를 해야 하는지에 대한 궁극적인 이유를 링크하면서 간단하게 이런 후킹 처리를 Detours 라이브러리로 처리할 거라고 합니다.




[이 글에 대해서 여러분들과 의견을 공유하고 싶습니다. 틀리거나 미흡한 부분 또는 의문 사항이 있으시면 언제든 댓글 남겨주십시오.]

[연관 글]






[최초 등록일: ]
[최종 수정일: 2/23/2020]

Creative Commons License
이 저작물은 크리에이티브 커먼즈 코리아 저작자표시-비영리-변경금지 2.0 대한민국 라이센스에 따라 이용하실 수 있습니다.
by SeongTae Jeong, mailto:techsharer at outlook.com

비밀번호

댓글 작성자
 



2022-04-05 10시07분
Why do Windows functions all begin with a pointless MOV EDI, EDI instruction?
; https://devblogs.microsoft.com/oldnewthing/20110921-00/?p=9583

---------------------------------

volatile 레지스터는 'scratch'라고도 불렸다고.

The history of calling conventions, part 1
; https://devblogs.microsoft.com/oldnewthing/20040102-00/?p=41213
정성태

[1]  2  3  4  5  6  7  8  9  10  11  12  13  14  15  ...
NoWriterDateCnt.TitleFile(s)
13676정성태7/14/20247Linux: 75. gdb에서 glibc의 함수에 Breakpoint 걸기
13675정성태7/13/2024427C/C++: 166. C/C++ - DLL에서 template 함수를 export하는 방법파일 다운로드1
13674정성태7/13/2024463오류 유형: 915. Unhandled Exception: Microsoft.Diagnostics.NETCore.Client.ServerNotAvailableException: Unable to connect to Process
13673정성태7/11/2024475닷넷: 2274. C# 13 - 신규 이스케이프 시퀀스 '\e'파일 다운로드1
13672정성태7/10/2024484닷넷: 2273. IIS - (프로세스 종료 없는) AppDomain Recycle
13671정성태7/10/2024431오류 유형: 914. Package ca-certificates is not installed.
13669정성태7/9/2024618오류 유형: 913. C# - AOT StaticExecutable 정적 링킹 시 빌드 오류
13668정성태7/8/2024703개발 환경 구성: 716. Hyper-V - Ubuntu 22.04 Generation 2 유형의 VM 설치
13667정성태7/7/2024738닷넷: 2272. C# - 리눅스 환경에서의 Hyper-V Socket 연동 (AF_VSOCK)파일 다운로드1
13666정성태7/7/2024939Linux: 74. C++ - Vsock 예제 (Hyper-V Socket 연동)파일 다운로드1
13665정성태7/6/20241002Linux: 73. Linux 측의 socat을 이용한 Hyper-V 호스트와의 vsock 테스트파일 다운로드1
13663정성태7/5/2024997닷넷: 2271. C# - Hyper-V Socket 통신(AF_HYPERV, AF_VSOCK)의 VMID Wildcards 유형파일 다운로드1
13662정성태7/4/20241251닷넷: 2270. C# - WSL 2 VM의 VM ID를 알아내는 방법 - Host Compute System API파일 다운로드1
13661정성태7/3/2024983Linux: 72. g++ - 다른 버전의 GLIBC로 소스코드 빌드
13660정성태7/3/20241162오류 유형: 912. Visual C++ - Linux 프로젝트 빌드 오류
13659정성태7/1/20241175개발 환경 구성: 715. Windows - WSL 2 환경의 Docker Desktop 네트워크
13658정성태6/28/20241190개발 환경 구성: 714. WSL 2 인스턴스와 호스트 측의 Hyper-V에 운영 중인 VM과 네트워크 연결을 하는 방법 - 두 번째 이야기
13657정성태6/27/20241391닷넷: 2269. C# - Hyper-V Socket 통신(AF_HYPERV, AF_VSOCK)을 위한 EndPoint 사용자 정의
13656정성태6/27/20241335Windows: 264. WSL 2 VM의 swap 파일 위치
13655정성태6/24/20241446닷넷: 2269. C# - Win32 Resource 포맷 해석파일 다운로드1
13654정성태6/24/20241372오류 유형: 911. shutdown - The entered computer name is not valid or remote shutdown is not supported on the target computer.
13653정성태6/22/20241300닷넷: 2268. C# 코드에서 MAKEINTREOURCE 매크로 처리
13652정성태6/21/20241433닷넷: 2267. C# - Linux 환경에서 (Reflection 없이) DLL AssemblyFileVersion 구하는 방법파일 다운로드2
13651정성태6/19/20241250닷넷: 2266. C# - (Reflection 없이) DLL AssemblyFileVersion 구하는 방법파일 다운로드1
13650정성태6/18/20241378개발 환경 구성: 713. "WSL --debug-shell"로 살펴보는 WSL 2 VM의 리눅스 환경
[1]  2  3  4  5  6  7  8  9  10  11  12  13  14  15  ...