Reverse Engineering и стек процессора

Одним из важнейших аспектов обратной разработки Reverse Engineering является понимание архитектуры процессора и, в частности, работы стека.

Стек — это структура данных типа LIFO (Last In, First Out), которая используется для хранения временных данных, таких как:

• Аргументы функций
• Локальные переменные
• Возвращаемые адреса после вызова функций

В архитектуре x86:

• `ESP` — регистр Stack Pointer, указывает на вершину стека

В архитектуре x64:

• `RSP` — 64-битный стековый указатель

Пример простейшего вызова функции:

push ebp              ; сохраняем предыдущий кадр стека
mov ebp, esp          ; создаём новый фрейм стека
sub esp, 0x20         ; резервируем 32 байта под локальные переменные

...

mov esp, ebp          ; восстанавливаем стек
pop ebp               ; восстанавливаем старый ebp
ret                   ; возвращаем управление вызывающему коду

; вызывающий код
push 0x2              ; аргумент 2
push 0x1              ; аргумент 1
call add_numbers      ; вызов функции

...

add_numbers:
  push ebp
  mov ebp, esp
  mov eax, [ebp+8]    ; первый аргумент
  add eax, [ebp+12]   ; второй аргумент
  pop ebp
  ret

Разбор:

• `[ebp+8]` — это первый аргумент (находится выше сохраненного EBP и адреса возврата)
• `[ebp+12]` — второй аргумент
• `ret` — извлекает адрес возврата из стека

Когда функция вызывается, стек выглядит так (снизу вверх):

[ebp+12] — второй аргумент
[ebp+8]  — первый аргумент
[ebp+4]  — адрес возврата (EIP)
[ebp]    — сохранённый ebp вызывающей функции
[ebp-4]  — локальная переменная 1
[ebp-8]  — локальная переменная 2
...

Инструменты позволяют анализировать вызовы функций, структуру стека, и регистры:

• Отображение `call stack` и `stack view`
• Анализ локальных переменных
• Распознавание аргументов функции

• Stack obfuscation — запутывание структуры вызовов
• SEH Overwrite — атака через обработчик исключений
• Return Oriented Programming (ROP) — использование `ret` для обхода DEP

• Анализируем стек для отслеживания аргументов
• Ищем возвращаемые значения
• Отслеживаем, как программа взаимодействует с API

• Используйте stack comments в IDA для маркировки значений
• При анализе `ret` всегда проверяйте, что в стеке по адресу `[esp]` — правильный адрес возврата
• Определяйте calling convention: `cdecl`, `stdcall`, `fastcall`, `thiscall`
• Следите за соответствием push/pop пар

Понимание работы стека — фундаментальный навык для любого инженера, занимающегося реверсом. Он позволяет точно определять логику исполнения, отлаживать, выявлять уязвимости и производить полную реконструкцию логики бинарного файла.

• https://reverseengineering.stackexchange.com/
• https://wiki.osdev.org/Stack
• https://ghidra-sre.org/
• https://x64dbg.com/
• https://www.hex-rays.com/products/ida/