abstract
IA-32(x86) CPU 의 Basic program execution registers 에 대해 알아봅니다.
* Intel 에서 제공하는 "IA-32 Architectures Software Developer's Manual" 의 설명을 참고 하였으며,
사용된 모든 이미지 역시 같은 manual 에서 가져온 것입니다.
* 출처 : http://www.intel.com/products/processor/manuals/index.htm
Goal
어플리케이션의 디버깅을 위해 기본적으로 알아야할 CPU 레지스터들을 이해합니다.
Prologue
리버싱 초급 단계에서 어플리케이션 디버깅을 잘하려면
디버거가 해석(디스어셈)해주는 어셈블리 명령어를 공부해야 합니다.
IA-32(Intel Architecture 32-bit) 에서 제공하는 어셈블리 명령어는
매우 방대한 양이라서 한번에 공부하기 쉽지 않습니다.
저는 디버깅을 해나가면서 모르는 명령어가 나올때마다
Intel 에서 제공한 매뉴얼에서 해당 명령어 설명을 보고 그때 그때 공부해나갔습니다.
잊어버리면 새로 찾아보는 방식으로 자꾸 보게되니 이제는 많은 명령어를 알게 되었습니다.
그 당시 어셈블리를 처음 배울때 가장 궁금했던 내용은 바로 register 였습니다.
어셈블리 명령어의 대부분은 레지스터를 조작하고 그 내용을 검사하는 것들인데,
정작 레지스터를 모르면 명령어 자체도 이해하기 힘들기 때문이지요.
본 문서는 어플리케이션 디버깅을 할때 필수적으로 알아야할 레지스터들에 대해서 설명하고 있습니다.
* 어셈블리 명령어에 대한 자세한 예제는 나중에 'Assembly 기본 명령어' 에서 다루도록 하겠습니다.
* 여기서는 일단 IA-32 만 다루고, 향후 IA-64 관련 내용도 한번 정리해 보도록 하겠습니다.
Register 란?
Register 란 CPU 내부에 존재하는 저장 공간입니다.
CPU 가 RAM 에 있는 데이타를 엑세스 하기 위해서는 먼 길을 돌아가야 하지만,
레지스터는 CPU 와 한몸이기 때문에 고속으로 데이타를 처리할 수 있습니다.
단, 가격이 비싸고 용량이 작으며, CPU 아키텍쳐와 밀접한 연관이 있어서 그 갯수와 크기를 변경 할 수 없습니다.
(CPU 아키텍쳐 자체가 변경되어야 합니다.)
IA-32 Registers
IA-32 는 최신 CPU 인 만큼 지원하는 기능도 어마어마 하게 많습니다.
따라서 그만큼 레지스터도 많이 가지고 있습니다.
x87 FPU registers
MMX registers
XMM registers
Control registers
Memory management registers
Debug registers
Memory type range registers
Machine specific registers
Machine check register
...
중/고급으로 올라가면 Control registers, Memory management registers, Debug registers 등을 더 공부하셔야 합니다.
본 문서에서는 Basic program execution registers 만 다루도록 하겠습니다.
* 나머지 register 들은 CPU 와 OS 에 대해서 깊이 있는 공부를 할 때 필요한 내용입니다.
나중에 OS 내부구조와 커널 디버깅을 배울 때 자세히 살펴보도록 하겠습니다.
Basic program execution registers
먼저 Intel 에서 제공한 매뉴얼의 Basic program execution registers 설명 그림을 보겠습니다.
Basic program execution registers 들은 크게 4 가지 group 으로 나눌 수 있습니다.
- General Purpose Registers (32bit - 8개)
- Segment Registers (16bit - 6개)
- Program Status and Control Register (32bit - 1개)
- Instruction Pointer (32bit - 1개)
* 레지스터 이름에 E(Extended) 가 붙은 것들은 예전 16 bit CPU 부터 존재하던 레지스터들이었는데,
32 bit CPU 에서 이름 앞에 E 를 붙여서 32 bit 로 확장 되었다는 것을 나타냅니다.
* 같은 이유로 64 bit CPU 에서는 E 대신 R 을 붙여서 64 bit 로 확장 되었음을 나타냅니다.
1. General Purpose Registers
이름 그대로 범용적으로 사용되는 레지스터들입니다.
IA-32 에서 범용 레지스터의 각 크기는 32 bits (4 Bytes) 입니다.
보통은 변수를 저장할 때 주로 사용되며, 특정 Assembly 명령어에서는 특정 레지스터를 조작하기도 합니다.
또한 어떤 레지스터들은 특수한 용도로 사용되기도 합니다.
아래 그림에 범용 레지스터들이 표시되어 있습니다.
<Fig. 2>
16-bit 하위 호환 때문에 <Fig. 2> 가 복잡하게 보이는데요, EAX 를 기준으로 설명드리겠습니다.
EAX : 32-bit
AX : EAX 의 하위 16-bit
AH : AX 의 상위 8-bit
AL : AX 의 하위 8-bit
각 레지스터들의 이름은 아래와 같습니다.
EAX : Accumulator for operands and results data
EBX : Pointer to data in the DS segment
ECX : Counter for string and loop operations
EDX : I/O pointer
위 4개의 레지스터들은 주로 산술연산(ADD, SUB, XOR, OR, etc) 명령어에서 변수 저장용도로 많이 사용됩니다.
특정 Assembly 명령어(MUL, DIV, LODS, etc) 에서는 특정 레지스터를 직접 조작하기도 합니다.
그리고 ECX 와 EAX 는 특수한 용도로 사용될 때가 있습니다.
ECX 는 반복문 명령어(LOOP)에서 참조 카운트로 사용됩니다.
(루프를 돌때마다 ECX 를 1씩 감소시킵니다.)
EAX 는 일반적으로 함수 리턴값에 사용됩니다.
Win32 API 함수들은 모두 리턴값을 EAX 에 저장한 후 리턴합니다.
* Windows Assembly 프로그래밍에서 주의할 점!
Win32 API 함수들은 내부에서 ECX 와 EDX 를 사용하고 그대로 리턴합니다.
따라서 ECX 와 EDX 에 중요한 값이 저장되어 있다면 API 호출 전에 다른 레지스터나 스택에 백업해야 합니다.
나머지 범용 레지스터들의 이름은 아래와 같습니다.
EBP : Pointer to data on the stack (in the SS segment)
ESI : source pointer for string operations
EDI : destination pointer for string operations
ESP : Stack pointer (in the SS segment)
위 4개의 레지스터들은 주로 메모리 주소를 저장하는데 사용합니다.
ESP 는 스택 메모리 주소를 가리킵니다.
어떤 명령어들(PUSH, POP, CALL, RET) 은 ESP 를 직접 조작하기도 합니다.
(스택 메모리 관리는 프로그램에서 매우 중요하기 때문에 ESP 를 다른 용도로 사용하지 않는것이 좋습니다.)
EBP 는 함수가 호출되었을때 그 순간의 ESP 를 저장하고 있다가,
함수가 리턴하기 직전에 다시 ESP 에 값을 되돌려줘서 스택이 깨지지 않도록 합니다.
(이것을 stack frame 기법이라고 하며, 나중에 따로 설명할 예정입니다.)
ESI 와 EDI 는 특정 명령어(LODS, STOS, REP MOVS, etc)와 함께 주로 메모리 복사에 사용됩니다.
2. Segment Register
세그먼트란 IA-32 메모리 모델에서 나오는 용어입니다.
따라서 세그먼트 레지스터를 이해하려면 먼저 OS 내부구조의 '보호모드' 와 '메모리 모델' 의 개념을 이해해야 합니다만,
본 문서에서는 일단 개념적으로만 간단히 설명드리고 넘어간 후 나중에 OS 내부구조를 공부할 때 자세히 설명하도록 하겠습니다.
IA-32 보호모드에서 세그먼트란 메모리를 조각내어
각 조각마다 시작주소, 범위, 접근 권한등을 부여해서 메모리를 보호하는 기법을 말합니다.
또한 세그먼트는 페이징(Paging) 기법과 함께 가상 메모리를 실제 물리적 메모리로 변경할 때 사용됩니다.
세그먼트 메모리는 segment descriptor table 이라고 하는 곳에 기술되어 있는데,
세그먼트 레지스터는 이 segment descriptor table 의 index 를 가지고 있습니다.
아래 그림은 보호모드에서의 세그먼트 메모리 모델을 나타내고 있습니다.
<Fig. 3>
세그먼트 레지스터는 총 6개(CS, SS, DS, ES, FS, GS) 이며 각각의 크기는 16-bit (2 byte) 입니다.
<Fig. 3> 에 대해 좀 더 부연설명을 하면 각 세그먼트 레지스터가 가리키는 세그먼트 디스크립터와
가상 메모리가 조합되어 선형주소(Linear Address)가 되며,
페이징(Paging) 기법에 의해서 선형주소가 최종적으로 물리주소(Physical Address)로 변환됩니다.
* 만약 OS 에서 Paging 을 사용하지 않는다면 선형주소는 그대로 물리주소가 됩니다.
각 세그먼트 레지스터의 이름은 아래와 같습니다.
CS : Code Segment
SS : Stack Segment
DS : Data Segment
ES : Extra(Data) Segment
FS : Data Segment
GS : Data Segment
이름 그대로 CS 는 프로그램의 코드 세그먼트를 나타내며,
SS 는 스택 세그먼트, DS 는 데이타 세그먼트를 나타냅니다.
ES, FS, GS 세그먼트는 추가적인 데이타 세그먼트입니다.
FS 레지스터는 어플리케이션 디버깅에도 자주 등장하는데 SEH(Structured Exception Handling),
TEB(Thread Environment Block), PEB(Process Environment Block) 등을 구할때 사용되며
이들은 모두 고급 디버깅 주제입니다.
나중에 하나씩 살펴볼 기회가 있을 것입니다.
3. Program Status and Control Register
플래그 레지스터의 이름은 EFLAGS 이며 32-bit (4 byte) 크기입니다.
각 레지스터 bit 마다 의미를 가지고 있고 1 또는 0의 값을 가지며 On/Off 혹은 True/False 를 표시합니다.
일부 bit 는 시스템에서 직접 세팅하고, 일부 bit 는 프로그램에서 사용된 명령의 수행 결과에 따라 세팅됩니다.
* Flag 란 단어 그대로 깃발이 올라가면 1(On), 내려가면 0(Off) 으로 이해하시면 됩니다.
<Fig. 4>
32개 bit 의 의미를 전부 이해한다는 것은 매우 힘든 일입니다만,
어플리케이션 디버깅에 가장 중요한 3 가지 flag 를 잘 이해하도록 합니다.
Zero Flag
연산 명령 후에 결과값이 0 이 되면 ZF(Zero Flag) 가 1(True) 로 세팅됩니다.
Overflow Flag
부호 있는 수(signed integer)의 오버플로우가 발생했을 때 1 로 세팅됩니다.
MSB(Most Significant Bit) 가 변경되었을때 1 로 세팅됩니다.
Carry Flag
부호 없는 수(unsigned integer)의 오버플로우가 발생했을 때 1 로 세팅됩니다.
* 처음에는 OF 와 CF 가 발생하는 조건이 상당히 헷갈리고, 예상대로 되지 않는 경우가 많습니다.
직접 OllyDbg의 Assemble 명령어[Space]로 이런 저런 경우에 대해서 연습해보시기 바랍니다.
4. Instruction Pointer
EIP : Instruction pointer
CPU 가 처리할 명령어의 주소를 나타내는 레지스터이며, 크기는 32-bit(4 byte) 입니다.
CPU 는 하나의 명령(instruction)을 처리하고 난 후 자동으로 그 명령어 길이 만큼 EIP 를 증가시킵니다.
General Purpose Register 들과는 다르게 EIP 는 그 값을 직접 변경할 수 없도록 되어 있습니다.
EIP 를 변경하고 싶을 때는 특정 명령어(JMP, Jcc, CALL, RET), 인터럽트(interrupt), 예외(exception) 를 발생시켜야 합니다.
공부한 내용
General Purpose Registers : EAX, EBX, ECX, EDX, ESP, ESI, EDI, EBP
Segment Registers : CS, DS, SS, ES, FS, GS
Program Status and Control Register : EFLAGS (ZF, OF, CF)
Instruction Pointer : EIP
앞으로 더 공부할 내용
Control registers
Memory management registers
Debug registers
IA-32 Protected Mode, Segmentation, Paging
Epilogue
어플리케이션 디버깅에 필요한 IA-32 레지스터 들에 대해서 간략히 살펴보았습니다.
디버깅의 기초는 Assembly 명령어의 이해인데 그 명령어의 많은 부분은 레지스터를 조작하는 내용이라서
레지스터를 잘 알면 디버깅 하시는데 훨씬 도움이 되실 것입니다.
향후 실력이 쌓이면 고급 디버깅(커널 디버깅, anti-debugging)을 위해서
IA-32 Architecture 와 다른 레지스터들도 공부하시는 것이 좋습니다.
'study' 카테고리의 다른 글
| PE(Portable Executable) File Format (8) - PE Header (14) | 2009/04/22 |
|---|---|
| PE(Portable Executable) File Format (7) - PE Header (39) | 2009/04/18 |
| PE(Portable Executable) File Format (6) - PE Header (58) | 2009/04/06 |
| PE(Portable Executable) File Format (5) - PE Header (24) | 2009/04/03 |
| PE(Portable Executable) File Format (4) - PE Header (21) | 2009/03/31 |
| PE(Portable Executable) File Format (3) - PE Header (16) | 2009/03/29 |
| PE(Portable Executable) File Format (2) - PE Header (30) | 2009/03/28 |
| PE(Portable Executable) File Format (1) - PE Header (51) | 2009/03/23 |
| Calling Convention - 함수 호출 규약 (28) | 2009/03/08 |
| Stack Frame (41) | 2009/03/03 |
| IA-32 Register 기본 설명 (46) | 2009/02/28 |
Trackback Address :: http://www.reversecore.com/trackback/7
