[[분류:컴퓨터 공학]][[분류:컴퓨터 보안]][[분류:해킹]] [[파일:horizontal-logo-path-yk-wp.png|width=400&align=right]] [br] [목차] == 개요 == [[https://www.hex-rays.com/|공식 홈페이지]] '''I'''nteractive '''D'''is'''A'''ssembler. '''Hex-Rays SA'''에서 개발하여 판매중인 상용 디스어셈블러. 주로 [[리버스 엔지니어링]]을 위한 디버거로 이용된다. 매우 강력한 디스어셈블러로 평가받는데, 그 이유는 현존 디스어셈블러 중 손에 꼽을 만큼 매우 다양한 프로세서 및 파일 유형을 지원함은 물론, 사용자. 즉 리버서가 주도적으로 편하게 리버싱을 진행할 수 있다는 점에서 이름 그대로 사용자와 '''상호작용'''이 가능한 디스어셈블러이기 때문이다. 이 상호작용에는 막강한 해석 기능[* 코드를 어떤식으로 디스어셈블러가 해석해야 할지 매우 세세한 부분까지도 사용자가 지정할 수 있다.]과 더불어 자체적으로 지원하는 강력한 스크립팅 언어가 포함된다. 또한 이러한 강점을 세일즈 포인트로 삼고 있기도 하다. 또, IDA는 분석할 바이너리를 처음 로드하면, 바이너리 전체를 자동 분석하여 거대한 데이터베이스를 구축한다. 이 데이터베이스에는 바이너리 전체의 기계어 원본 및 자동 분석 결과물, 그리고 사용자가 작업하는 모든 내용이 이 데이터베이스에 저장된다. 즉 사용자가 분석 작업 중에 어떠한 일을 하더라도 원본 바이너리를 전혀 건드리지 않는다. == 기능 == 일단 가장 기본적인 기능들인 디스어셈블러, 디버거, 어셈블러, 헥스뷰 같은 기능들만 사용한다면 여타 디스어셈블러 또는 디버거들과 큰 차이는 없다. IDA를 제대로 활용하려면, IDA가 제공하는 코드 분석 기능과 더불어 프로그램 하나를 완전히 재구성하는 수준으로 지원하는 기능들을 모두 활용해야 한다. 세그먼테이션을 분리하거나 합치거나 타입을 변경하고, 구조체나 열거형을 추가하여 코드 분석에 용이하게 설정하고, 자동 분석의 방향을 직접 모두 지정할 수 있으며, 더 나아가 이 모든 과정을 IDA에서 지원하는 단순한 스크립팅 언어로 간단히 프로그래밍도 할 수 있다. 다시 말해, '''디버깅 정보가 없는 프로그램을 디버깅 정보 데이터베이스(PDB)가 있는 것 처럼''' 사용자가 만드는 것을 가능케 해준다는 의미. 프로그램 이름에 있는 상호 작용은 바로 이런 의미를 나타낸다. IDA의 플러그인을 개발하기 위한 SDK가 제공되어 여러가지 플러그인을 개발할 수 있다. [[악성코드]]들이 흔히 사용하는 더미다, VMProtect 등의 프로텍터들의 디버거 감지 기능을 우회하기 위한 TitanEngine을 사용할 수 있게 해주는 플러그인에서 시작하여 CodeXplorer 처럼 IDA의 기능을 확장시켜주는 공개 플러그인들도 나와있다. 상술한 것 처럼, IDA는 매우 많은 프로세서와 파일 타입을 지원한다. 그러나 '''돈'''을 내는 만큼 지원하는 범위가 달라진다. 모든 기능을 사용하려면 Pro 버전을 구매하여 이용하여야 하지만, Home 버전으로도 자주 사용되는 프로세서 및 타입을 분석할 수 있다. 그러나 후술할 Hex-Rays 디컴파일러를 x86 타입에서 이용하려면 반드시 Pro 버전을 사용해야 한다. 디컴파일러도 필요 없고, 최신 버전도 필요 없고, 스크립팅 기능들도 필요 없고, 상용 목적(회사에서 사용 등)도 아니라면, 무료로 제공되는 약간의 구버전을 이용하는 방법도 있다. IDA 7.5가 최신 버전인 현재를 기준으로, IDA 7.0 버전이 무료로 제공되고 있다. 다만 x86, x64 프로세서만 지원되며, [[Microsoft Windows|윈도우 PE 포맷]]과 [[리눅스|ELF 바이너리]], [[macOS|Mach-O]] 형태의 바이너리만 지원된다는 단점이 있다. 이에 반해 IDA Pro는 '''매우 막강한 지원'''이 따라오는데, 당장 공식 홈페이지에 공개된 지원하는 파일 형식만 다음과 같다. * '''[[MS-DOS|MS-DOS용 EXE, COM, 드라이버]]''' * New Excutable, Linear Executable [* NE 및 LE(LX) 모두 DOS 기반, OS/2 등에서 실행되는 파일 형식 중 하나이다.] * '''[[Microsoft Windows|윈도우용 PE 형태 파일]]''' * '''[[macOS|OS X 및 iOS용 바이너리]]''' * '''[[Dalvik|Dalvik 바이트 코드]]''' * '''[[.NET#Framework|MSIL 바이트 코드]]''' * [[심비안|EPOC]] * 윈도우 dmp 파일 * [[Xbox|Xbox 바이너리]] * 인텔 HEX[* BIOS등 프로그래밍에 사용.] * MOS Technology Hex Object File * 넷웨어 모듈(NLM), COFF, OMF, S-record format[* 모두 16비트 시대에 사용되던 구시대 유물들이다.] * '''[[ZIP|ZIP/JAR 아카이브]]'''[* 물론 ZIP 파일 자체를 분석한다는 의미가 아니라, ZIP 형태로 압축된 아카이브 내의 바이너리를 압축해제를 거치지 않고서 바로 분석할 수 있다는 의미이다.] * '''[[JVM|JVM 바이트 코드]]''' * '''[[리눅스|리눅스 ELF 파일]]''' * Watcom DOS32 Extender * a.out 파일 [* 아주 예전에 [[유닉스]] 계열에서 사용하던 실행파일 형태이다. '''A'''ssembler '''Out'''put의 줄임말. 현재 [[GCC]] 컴파일러 등에서, -o 플래그를 넣지 않고 컴파일을 돌릴 경우 나오는 기본 출력 파일에서 그 잔재를 확인할 수 있다.] * PalmPilot program file * AR 라이브러리 * PEF * QNX * [[닌텐도|닌텐도 N64]] * SNES ROM file * Motorola DSP56000 .LOD * [[플레이스테이션|플레이스테이션 PSX 파일]] * object (psyq) files * library (psyq) files 지원하는 프로세서 종류는 더욱 더 어마어마한데, [[https://www.hex-rays.com/products/ida/processors/|공식 홈페이지]]에서 그 목록을 확인해볼 수 있다. IDA Pro 하나면 매우 다양한 파일 형태와 프로세서 타입을 분석할 수 있기 때문에 가히 만능으로 불릴만 하다. == 디컴파일러 == ||<:>어셈블리 코드||<:>디컴파일 코드|| ||[br]push ebp[br]mov ebp, esp[br]push ebx[br]sub esp, 0Ch[br]mov ecx, word ptr [ebp+arg_0][br]mov ebx, dword ptr [ebp+arg_0+4][br]mov eax, ecx[br]mov edx, ebx[br]mov eax, edx[br]mov edx, eax[br]sar edx, 1Fh[br]sar eax, 1Fh[br]mov eax, edx[br]mov edx, 0[br]shr eax, 1Fh[br]add eax, ecx[br]adc edx, ebx[br]shrd eax, edx, 1[br]sar edx, 1[br]mov ebp+var_10], eax[br]mov [ebp+var_C], edx[br]mov eax, [ebp+var_10][br]mov dx, [ebp+var_C][br]shld edx, eax, 1[br]add eax, eax[br]sub ecx, eax[br]sbb ebx, edx[br]mov [ebp+var_10], ecx[br]mov [ebp+var_C], ebx[br]mov eax, ebp+var_10][br]mov edx, [ebp+var_C][br]add esp, 0Ch[br]pop ebx[br]pop bp[br]retn||__int64 __cdecl mod_ll(__int64 a1)[br]{[br] return a1 % 2;[br]}|| [[https://www.hex-rays.com/products/decompiler/compare/compare_vs_disassembly/|#]] Hex-Rays에서 직접 개발하여 판매중인 디스어셈블된 코드를 '''C언어 문법의 고급 언어로 디컴파일'''해주는 플러그인. 이 디컴파일러가 Hex-Rays SA의 '''밥줄'''. x86, x64, ARM, MIPS, PowerPC 형태의 프로세서만 지원한다. 가장 유용할 x86 디컴파일러를 사용하려면 반드시 IDA Pro 버전에서 사용해야 하며, Home 버전은 x64만 지원하고 ARM을 베타 서비스로 제공하고 있다. IDA의 여러가지 다양한 기능들을 다 사용하지 않더라도, '''이 디컴파일러 하나만으로도''' 사실 상 IDA Pro를 사용하는 주된 이유가 되기도 한다. Ghidra, JEB나, x96dbg에서 사용가능한 플러그인인 snowman에도 유사한 디컴파일 기능이 있으나, 여타 디컴파일러와는 비교할 수 없는 디컴파일 정확도와 안정성을 보인다. [* 물론 단순한 파일에서는 다른 디컴파일러도 매우 우수한 성능을 보이나, IDA의 강점은 '''상호 작용'''이기에 제대로 분석되지 않는 일부 복잡한 형태의 어셈블리들을 사용자가 직접 프로그램의 분석을 제어하여 비교적 정확한 디컴파일 결과물을 낼 수 있게끔 지원하는 것이 IDA의 강점이다.] 심지어 현재 진행형으로 계속 버전 업 되며 분석 성능이 개선되고 있다. 그러나 결국 디컴파일 플러그인은 어셈블리 해석을 보조하는 프로그램일 뿐, 어느 부분에서는 오히려 어셈블리 코드를 보고 해석하는 것이 더 나을 때도 종종 있다. 프로그램의 자동 분석이 잘못되어 스택 포인터가 어긋난 경우나, 프로텍터의 난독화로 인해 프로그램이 기계어를 잘못 해석하고 있을때는 강력한 디컴파일 플러그인 조차도 무용지물이다. 그럴 땐 직접 사용자가 해당 문제들을 직접 판단하며 IDA가 올바르게 분석을 수행할 수 있게끔 잡아주어야 하거나, 또는 아무리 정적 분석이 강력한 IDA라고 하더라도 동적 분석으로 넘어가는 수 밖에 없다. 다시 말해 결국 이것 조차도 제대로 쓰기 위해서는 '''IDA를 자유자재로 다룰 수 있는 기술 및 지식'''이 필요하다. == 가격 == 이렇게 장점이 많은 디스어셈블러 도구지만, 단점은 바로 '''그놈의 가격'''. 프로그램 역분석에 거의 반드시 사용하게 될 x86 디컴파일러만 이용하려고 해도 기본 '''600만원'''이라는 어마어마한 돈이 깨진다. 사실 상 취미로 리버싱을 하는 사람에게는 그림의 떡. 애당초 취미로 리버싱을 하는 사람이 이런 툴을 사용할 필요까지는 없다. 다만 실제 보안 업계에 종사하거나, 또는 그럴 예정이라면 이야기가 달라질 수 있다. 이런 경우에는 무료 버전 또는 비교적 저렴한 Home 에디션을 사용하여 배우는 것이 권장된다. == 기타 == * 유료 상용 리버싱 프로그램이지만, 더미다나 VMProtect, Enigma 등 유명한 상용 프로텍터들이 그랬듯 IDA 역시도 [[크랙(프로그램)|크랙판]]이 나돌아 다니고 있다.(...) * 특이하게도 동적 디버깅을 할 때, 중단점을 '''디컴파일러로 생성된 의사코드'''에도 걸 수 있다. * Hex-Rays SA는 2005년에 설립된 벨기에 회사이다.