Binary 102: Linux 32-bit Assembly

$ objdump -d ch02-helloworld

ch02-helloworld: file format elf32-i386

Disassembly of section .text:
08048060 <_start>:
8048060: 31 c0 xor %eax,%eax
8048062: 31 db xor %ebx,%ebx
8048064: 31 c9 xor %ecx,%ecx
8048066: 31 d2 xor %edx,%edx
8048068: b0 04 mov \(0x4,%al
804806a: fe c3 inc %bl
804806c: 68 64 21 0a 00 push \)0xa2164
8048071: 68 57 6f 72 6c push \(0x6c726f57
8048076: 68 6c 6f 2c 20 push \)0x202c6f6c
804807b: 68 48 65 6c 00 push \(0x6c6548
8048080: 89 e1 mov %esp,%ecx
8048082: b2 0f mov \)0xf,%dl
8048084: cd 80 int \(0x80
8048086: 31 c0 xor %eax,%eax
8048088: 31 db xor %ebx,%ebx
804808a: b0 01 mov \)0x1,%al
804808c: cd 80 int $0x80

$ objdump -d -M intel ch02-helloworld

ch02-helloworld: file format elf32-i386

Disassembly of section .text:
08048060 <_start>:
8048060: 31 c0 xor eax,eax
8048062: 31 db xor ebx,ebx
8048064: 31 c9 xor ecx,ecx
8048066: 31 d2 xor edx,edx
8048068: b0 04 mov al,0x4
804806a: fe c3 inc bl
804806c: 68 64 21 0a 00 push 0xa2164
8048071: 68 57 6f 72 6c push 0x6c726f57
8048076: 68 6c 6f 2c 20 push 0x202c6f6c
804807b: 68 48 65 6c 00 push 0x6c6548
8048080: 89 e1 mov ecx,esp
8048082: b2 0f mov dl,0xf
8048084: cd 80 int 0x80
8048086: 31 c0 xor eax,eax
8048088: 31 db xor ebx,ebx
804808a: b0 01 mov al,0x1
804808c: cd 80 int 0x80

<instruction> <source>,<dest>

<instruction> <dest>,<source>

• Big-Endian quy định BYTE có trọng số lớn nhất được lưu ở ô nhớ có địa chỉ nhỏ nhất còn BYTE có trọng số nhỏ nhất được lưu ở ô nhớ có địa chỉ lớn nhất.

• Little-Endian quy định BYTE có trọng số lớn nhất được lưu ở ô nhớ có địa nhỉ lớn nhất còn BYTE có trọng số nhỏ nhất được lưu ở ô nhớ có địa chỉ nhỏ nhất.

Hay còn được biết đến nhóm các thanh ghi đa năng, được CPU sử dụng như bộ nhớ siêu tốc trong việc tính toán, dùng làm biến tạm, tham số,.v.v..

• EAX: Đa mục đích, thường lưu giá trị trả về của một hàm. Chia nhỏ được thành: AX (16-bits), AH (8-bits), AL (8-bits)

• EBX: Đa mục đích, thường được sử dụng như một con trỏ tới dữ liệu (nằm trong thanh ghi phân đoạn - DS, khi ở chế độ phân đoạn). Chia nhỏ được thành: BX, BH, BL.

• ECX: Dùng trong các vòng lặp, được dùng như biến đếm. Chia nhỏ được thành: CX, CH, CL.

• EDX: Dùng để lưu dữ liệu, cho các hoạt động I/O và phép toán số học. Chia nhỏ được thành: DX, DH, DL.

• ESI: Dùng trong các thao tác với chuỗi, thường trỏ đến chuỗi nguồn. Chia nhỏ được thành: SI và SIL

• EDI: Tương tự như ESI nhưng trỏ đến chuỗi đích. Chia nhỏ được thành: DI và DIL

• ESP: Thanh ghi con trỏ ngăn xếp, luôn trỏ tới đỉnh hiện thời của ngăn xếp. Dùng khi có các thao tác trên Stack. Chia nhỏ được thành: SP và SPL

• EBP: Thanh ghi con trỏ cơ sở (hay Frame Pointer). Khi một Stack Frame được cấp, có thể dựa vào ESP để xác định vị trí của: Return address, Parameter, Local variable,.v.v.. Chia nhỏ được thành: BP và BPL

Bao gồm: CS, SS, DS, ES, FS và GS. Việc dùng các thanh ghi này phụ thuộc vào mô hình bộ nhớ của hệ điều hành, chỉ quan tâm nó dưới góc độ người lập trình Assembly. Ngày nay các Hệ điều hành phổ biến (Windows, Linux, FreeBSD,.v.v..) đều đã chuyển sang sử dụng chế độ phân trang (Flat mode) thay cho phân đoạn. Tuy nhiên, các thanh ghi này vẫn được sử dụng trong một số trường hợp nhất định.

Thanh ghi này rộng 32-bits, với mỗi vị trí bit được đánh tương ứng với một cờ hiệu. Các cờ hiệu này sẽ có 2 trạng thái là: 1 (cờ được bật) và 0 (cờ bị xóa). Các cờ này bị thay đổi khi gặp các lệnh/thao tác tính toán. Chúng ta không cần thiết phải nhớ hết các cờ, mà chỉ cần lưu ý một số cờ sau:

• Zero Flag (ZF - Cờ không - Bit thứ 6): Được bật khi kết quả phép toán bằng 0 hoặc kết quả so sánh bằng nhau.

• Carry Flag (CF - Cờ nhớ - Bit thứ 0): Được bật khi có mượn hoặc nhớ bit MSB

• Parity Flag (PF - Cờ chẵn lẻ - Bit thứ 2): Được bật khi tổng số bit 1 trong kết quả là chẵn, nếu là lẻ thì cờ bị xóa

• Sign Flag (SF - Cờ dấu - Bit thứ 7): Cờ này được bật khi bit MSB của kết quả bằng 1 tức đây là một kết quả âm

• Overflow Flag (OF - Cờ tràn - Bit thứ 11): Được bật khi thực hiện phép tính với hai số cùng dấu mà kết quả là số có dấu

• Direction Flag (DF - Cờ hướng - Bit thứ 10): Xác định hướng của thao tác chuỗi. Khi được bật hướng từ địa chỉ cao → thấp. Khi cờ đc xóa thì hướng từ địa chỉ thấp → cao.

• Trap Flag (TF - Cờ bẫy - Bit thứ 8): Được bật để sử dụng chế độ gỡ lỗi, CPU sẽ chỉ thực hiện một lệnh tại một thời điểm

Luôn trỏ đến địa chỉ của lệnh kế tiếp sẽ được thực thi vì vậy nó quan trọng trong khai thác. Khi kiểm soát được thanh ghi này, có thể trỏ đến shellcode.

• PUSH: Dùng để đẩy (thêm/cất) dữ liệu vào đỉnh ngăn xếp. Khi dữ liệu được thêm vào ngăn xếp thì đồng thời thanh ghi ESP cũng bị giảm đi.

• POP: Dùng để lấy dữ liệu ra từ đỉnh ngăn xếp. Khi dữ liệu được lấy ra khỏi ngăn xếp thì đồng thời thanh ghi ESP cũng sẽ được tăng lên.

• AND: Kết quả của AND bằng 1 nếu như hai bit là 1, ngược lại bằng 0

• OR: Kết quả của phép OR bằng 0 nếu như hai bit là 0, ngược lại bằng 1

• NOT: Phép phủ định, cho kết quả ngược lại

• XOR: Hai bit giống nhau thì bằng 0, khác nhau thì bằng 1

• Lệnh ADD: Toán hạng đích = Toán hạng đích + Toán hạng nguồn (Intel Syntax)

• Lệnh SUB: Toán hạng đích = Toán hạng đích - Toán hạng nguồn (Intel Syntax)

• Lệnh MUL: Toán hạng đích = Toán hạng đích * Toán hạng nguồn. Toán hạng đích tùy thuộc vào kích thước của toán hạng nguồn, thường toán hạng đich sẽ tương ứng với: EAX, AX, AL

• Lệnh DIV: Toán hạng đích = Toán hạng đích / Toán hạng nguồn. Tương tự như MUL nhưng là phép chia.

• Lệnh INC và DEC: Tương ứng với: Toán hạng đích = Toán hạng đích + 1 và Toán hạng đích = Toán hạng đích - 1 (Intel Syntax)

• Lệnh MOV: Chuyển dữ liệu giữa: thanh ghi với thanh ghi, thanh ghi với ô nhớ,.v.v..

• Lệnh LEA: Tương tự MOV nhưng toán hạng đích (Intel Syntax) thường là các thanh ghi còn toán hạng nguồn là địa chỉ ô nhớ.

• Lệnh XCHG: Hoán vị nội dung 2 toán hạng: Swap(Toán hạng đích, Toán hạng nguồn)

• x86 Assembly thực hiện System Call thông qua lệnh: INT 0x80 gọi là Ngắt 0x80

• Thanh ghi EAX/AX sẽ lưu System Call Number và Result của System Call.

• Các tham số theo thứ tự sau: EBX, ECX, EDX, ESI, EDI, EBP

• Tra cứu các System Call Number tại: unistd_32.h

• Tra cứu các API bằng Man Page của Linux

• Dòng 8, 9, 10, 11: Khởi tạo giá trị 0 cho các thanh ghi EAX, EBX, ECX, EDX

• Dòng 12: Gán AL = 0x4. Đây chính là System Call Number của hàm write được định nghĩa trong file header unistd_32.h (#define __NR_write 4). Tra cứu hàm này trong Man Page ta được: write(int fd, const void *buf, size_t count);

• Dòng 13: Gán BL = 0x1. Nghĩa là fd = STDOUT (Ngoài ra: 0=STDIN; 2=STDERR)

• Dòng 14, 15, 16, 17: Đẩy dữ liệu dạng Hexa lên Stack. Dựa theo Little-Endian ta sẽ decode dữ liệu này như sau:

$ python
>>> a = '000a2164'.decode('hex')
>>> b = '6c726f57'.decode('hex')
>>> c = '202c6f6c'.decode('hex')
>>> d = '6c6548'.decode('hex')
>>> final = a + b + c + d
>>> final[::-1] # Little-Endian, Reverse bytes
'Hello, World!\n\x00'

• Vì x86 Assembly chỉ hỗ trợ độ rộng 32-bits nên sẽ phải PUSH 4 lần, mỗi lần tối đa 4 bytes. Ở cuối có ký \n để xuống dòng và ký tự \0 báo hiệu kết thúc chuỗi.

• Dòng 18: ECX trỏ đến chuỗi đã PUSH lên Stack. Nghĩa là *buf = 'Hello, World!\n\x00'

• Dòng 19: EDX = 0xF. Nghĩa là count = 0xF

• Dòng 20: Gọi ngắt bằng lệnh: INT 0x80

• Dòng 23, 24: Tương tự 8, 9, 10, 11: Khởi tạo EAX, EBX về giá trị bằng 0

• Dòng 25: AL = 0x1 nghĩa là System Call Number = 1 tương tự trên, đây là hàm exit (#define __NR_exit 1) và được mô tả như sau trong Man Page: void exit(int status);

• Khối đầu thực hiện hàm write và khối sau thực hiện hàm exit:

• Tham khảo: https://chromium.googlesource.com/chromiumos/docs/+/master/constants/syscalls.md

• Khi đó ta có thể viết lại đơn giản chương trình thành như sau:

write(fd=1, *buf='Hello, World!\n\x00', count=15);
exit(status=0);

• Nằm ở đầu tệp ELF, chứa thông tin cơ bản về tệp: Magic, Type, Machine, Entry Point, Start of Program Headers/Section Headers, Number of Program Headers/Section Headers, Size of ELF Header/Program Headers/Section Headers,.v.v..

/* The ELF file header.  This appears at the start of every ELF file.  */
#define EI_NIDENT (16)
typedef struct
{
  unsigned char e_ident[EI_NIDENT];     /* Magic number and other info */
  Elf32_Half    e_type;                 /* Object file type */
  Elf32_Half    e_machine;              /* Architecture */
  Elf32_Word    e_version;              /* Object file version */
  Elf32_Addr    e_entry;                /* Entry point virtual address */
  Elf32_Off     e_phoff;                /* Program header table file offset */
  Elf32_Off     e_shoff;                /* Section header table file offset */
  Elf32_Word    e_flags;                /* Processor-specific flags */
  Elf32_Half    e_ehsize;               /* ELF header size in bytes */
  Elf32_Half    e_phentsize;            /* Program header table entry size */
  Elf32_Half    e_phnum;                /* Program header table entry count */
  Elf32_Half    e_shentsize;            /* Section header table entry size */
  Elf32_Half    e_shnum;                /* Section header table entry count */
  Elf32_Half    e_shstrndx;             /* Section header string table index */
} Elf32_Ehdr;

• Bảng chứa các Program Header (hay còn được gọi là các Segment Header). Mỗi Segment chứa 0 hoặc nhiều Section

/* Program segment header.  */
typedef struct
{
  Elf32_Word    p_type;                 /* Segment type */
  Elf32_Off     p_offset;               /* Segment file offset */
  Elf32_Addr    p_vaddr;                /* Segment virtual address */
  Elf32_Addr    p_paddr;                /* Segment physical address */
  Elf32_Word    p_filesz;               /* Segment size in file */
  Elf32_Word    p_memsz;                /* Segment size in memory */
  Elf32_Word    p_flags;                /* Segment flags */
  Elf32_Word    p_align;                /* Segment alignment */
} Elf32_Phdr;

• Bảng chứa các Section Header, mỗi Section sẽ được quy định có quyền: đọc, ghi hay thực thi và nó lưu: dữ liệu hay code thực thi,.v.v..

/* Section header.  */
typedef struct
{
  Elf32_Word    sh_name;                /* Section name (string tbl index) */
  Elf32_Word    sh_type;                /* Section type */
  Elf32_Word    sh_flags;               /* Section flags */
  Elf32_Addr    sh_addr;                /* Section virtual addr at execution */
  Elf32_Off     sh_offset;              /* Section file offset */
  Elf32_Word    sh_size;                /* Section size in bytes */
  Elf32_Word    sh_link;                /* Link to another section */
  Elf32_Word    sh_info;                /* Additional section information */
  Elf32_Word    sh_addralign;           /* Section alignment */
  Elf32_Word    sh_entsize;             /* Entry size if section holds table */
} Elf32_Shdr;