リバースエンジニアリングバイブル の商品レビュー

姜秉卓(著者),金凡峻(訳者)

2017/08/06

http://book.impress.co.jp/books/1113101030

■概要
ソフトウェア開発に欠かせない技術となった「リバーシング」から「アンチリバーシング」までを徹底解説！ C／C++に対応したそれらの手法を、韓国の一流技術者が丁寧に説明します！
ソフトウェアのリバースエンジニアリングは、セキュリティ分野や悪性コードの分析に限られたものではない。エンジニアリングにおいても、リバースエンジニアリングは不可欠な過程の一部だ。特に最近のように、開発のための要素がモジュール化されている状況では、ソースコードが得られないことも多く、モジュールの動作の理解度を高めるために、リバースエンジニアリングは必須になっている。また、自分が作成したコードでも動作の問題を解決したり最適化などを実現したりするためには、リバースエンジニアリングは必須の作業だ。

■ToC
第1部　リバースエンジニアリングの基本
01章　リバースエンジニアリングのためだけのアセンブラ
02章　C言語の文法と逆アセンブル
03章　C++のクラスとリバースエンジニアリング
04章　DLLの分析

第2部　リバースエンジニアリング中級
05章　PEヘッダー
06章　よく使われるパターン
07章　MFCリバーシング

第3部　演算ルーチンリバーシング
08章　シリアルキー抽出法
09章　コードフェイキング

第4部　アンチリバースエンジニアリング
10章　教科書的なアンチデバッグ
11章　ハイレベルなアンチデバッグ
12章　パッカーが使用する技術
13章　回避方法

第5部　一段階高いレベルのバイナリ作り
14章　コードフック
15章　コードパッチング
16章　難読化とダミーコード

2015/02/10

いくつかの訂正と感想
20p
　以前のコードでは「mov esp, ebp」を使用したので、
　→ 以前のコードでは「mov ebp, esp」を使用したので、

19-22p
esp,ebpがなにかの説明がなかったので理解に苦しむ。
補足
・intel系のcpuはスタックに積んだ時に上位アドレスから積んでいく。(amd系のcpuでもintelと互換性があり、この条件は同じ）そのため、たとえば4byteずつスタックを積んでいく場合は、次のpopするポイントは-4 * n個になる。
・espはスタックポイント。スタックから次にpopするアドレスを示してる
・ebpはベースポイント。スタックが始まるアドレス
・pushうんぬんの話を理解するには、まずcall命令の動きとして、「リターンアドレスをスタックに積んだ上でサブルーチンにジャンプする」ことを覚える。その時にスタックポイントにebpをもってきて新しいスタックが生成される。
（ebpの中には前回（サブルーチンへジャンプする前の）ebpのアドレスが入る。）
つまりpopする場所にebpがあるのでebp + 4でリターンアドレス、ebp + 8で第１引数などが説明できる。
この説明がないからどうしてもebpではなく、espからオフセットを出していくのでは？とすごく疑問になっていた。

＊読み終わるまで順次に追加予定＊