【Pwn入門編】x86/x64アセンブリと関数呼び出し規約をスッキリ整理｜CTF思考フレームワーク #58

広告・PRを含みます。この記事にはアフィリエイトリンクが含まれます。掲載内容は編集方針に基づいて作成していますが、価格・キャンペーン内容はリンク先で最新情報を確認してください。

こんにちは、アンペンです！ここから新章Pwn編。バイナリ脆弱性を突いて制御を奪う領域です。最初はアセンブリと関数呼び出し規約から。

『Pwn』はCTFの花形ジャンル。プログラムのバグを突いて、開発者も想定していない動き——たとえば本来呼ばれないはずの“フラグ表示関数”を強制的に実行させたりする、いわば“ハッキングらしいハッキング”の領域です。その第一歩が、コンピュータが実際に何をしているかを映す『アセンブリ』を読めるようになること。身構えず、ゆっくり地図の読み方を覚える感覚でいきましょう。

アセンブリって聞くと拒否反応…必要？

Pwnでは必須。といっても暗記は不要。レジスタ・スタック・呼び出し規約の3点を押さえれば、CTF問題の8割は読める。

最初に安心材料を。アセンブリと聞くと『何百個もの命令を暗記するの…？』と尻込みしがちですが、Pwnで使うのはごく一部です。覚えるべきは、ざっくり3つ——『データを置く小箱（レジスタ）』『作業メモの束（スタック）』『関数を呼ぶときの決まりごと（呼び出し規約）』。この3点さえ押さえれば、CTFのバイナリの8割は“なんとなく読める”ようになります。

レジスタ：CPUの『手元の小箱』

レジスタはCPU内部の超高速メモリ。x64ではRAX/RBX/RCX/RDX/RSI/RDI/RBP/RSP/R8〜R15の16本が汎用。それぞれ用途の慣習があります。

レジスタを身近にたとえると、CPUが作業するときに手元へ置いておく“小箱”のようなもの。引き出し（メインメモリ）から物を出すより、机の上の小箱に入っているほうが圧倒的に速く取り出せますよね。だからCPUは、いま使う値をこの小箱に置いて高速に処理します。16個ある小箱には『戻り値はここ』『1番目の引数はここ』といった“担当”がだいたい決まっていて、それを知っていると読むのがぐっと楽になります。

図解：主要レジスタの役割マップ

『戻り値はRAX、引数はRDI/RSI/…、スタック頂はRSP、フレーム底はRBP、命令ポインタはRIP』というキャラ設定を覚えるだけで一気に読めるようになります。

丸暗記はせず、“キャラ設定”として覚えるのがコツです。RAX＝結果を持って帰る係、RDI/RSI…＝引数を順番に渡す係、RSP＝今いる場所を指す係、RIP＝次に読む命令を指す係。人物の役割を覚える要領で頭に入れると、ズラッと並んだアセンブリも『あ、これは結果をRAXに入れて持ち帰ってるな』と、物語のように追えるようになりますよ。

レジスタとスタックが分かったら、次は『関数が呼ばれて、終わって戻る』までの一連の流れを追ってみましょう。ここがPwnでいちばん“おいしい”ポイント。なぜなら、攻撃の多くは、この“呼んで戻る”仕組みのスキマに入り込むからです。

関数の入口と出口(プロローグ/エピローグ)

• プロローグ：push rbp; mov rbp, rsp; sub rsp, N(古いRBPを保存、新しいフレーム作成)
• 本体：変数アクセスは [rbp - X] や [rsp + X] で参照
• エピローグ：mov rsp, rbp; pop rbp; ret(フレーム解除、戻る)
• call/ret：callで戻りアドレスをpush、retでpopしてジャンプ

プロローグとエピローグは、関数の“入室・退室の儀式”だと思ってください。部屋に入るときは『自分用の作業スペースを確保する』（プロローグ）、出るときは『片付けて元の部屋に戻る』（エピローグ）。毎回ほぼ同じ定型動作なので、アセンブリを読むときも『あ、ここが関数の入口／出口だな』と、一目で見分けられるようになります。

『retが何を見て戻り先を決めるか』がスタックBoF(次回)の核心。戻りアドレスをスタック上で書き換えれば、任意のコードに飛ばせます。

ここがPwnの肝なので、もう一度。関数は出ていくとき、『どこに戻ればいいか』を、スタックに置いてある“戻りアドレス”を見て決めます。ということは——もしこの戻りアドレスを書き換えられたら？ 関数は何の疑いもなく、攻撃者の指定した場所へ飛んでいってしまうんです。次回のスタックBoFは、まさにこの“戻り先のメモ”を上書きする攻撃。今日の知識が、そのまま次回の武器になります。

三種の神器：gdb+pwndbg・Ghidra・pwntools

• gdb + pwndbg：動的デバッガ。checksec / vmmap / telescope 等が便利
• Ghidra(またはIDA Free)：静的逆コンパイル。Cっぽい疑似コードが見える
• pwntools(Python)：exploit記述ライブラリ。p64()/u64()/process()/remote()
• 他：radare2 / Cutter / one_gadget / ROPgadgetもよく使う

3つの道具は、役割で覚えると迷いません。Ghidraは『設計図を眺める』静的な相棒——動かさずにプログラムの全体構造を読む。gdb+pwndbgは『実際に動かして観察する』動的な相棒——1命令ずつ進めて、レジスタやスタックの中身を覗く。そしてpwntoolsは『攻撃の手順を自動化する』相棒——組み立てた手順をPythonで送り込む。読む・観る・撃つ、の三役だと考えると、役割分担がクリアになります。

CTFでやってみよう：簡単なバイナリを読む

ところで、この知識は攻める人だけのものではありません。むしろ守る人にとってこそ価値があります。『なぜスタックを書き換えると乗っ取れるのか』を仕組みから理解していると、Canaryやアドレスのランダム化（ASLR）といった防御が“なぜ効くのか”まで腹落ちするからです。

守る側：『なぜ脆弱性が成立するか』を知る価値

レジスタ・スタック・規約の3点だけ覚える、ってだいぶハードル下がるね。

うん。次回はスタックBoFで実際に戻りアドレスを書き換えるよ。ret2winで初Pwn成功体験を。

ここまでをひと言でまとめると、Pwn入門は『暗記ではなく、3つの仕組みの“地図”を持つこと』。小箱（レジスタ）、メモの束（スタック）、受け渡しの決まり（呼び出し規約）。この地図さえあれば、次回からの実際の攻撃も“どこをいじっているか”が見えるようになります。

まとめ：『レジスタ・スタック・規約』

今日の持ち帰りは『アセンブリは“暗記科目”ではなく“地図の読み方”』。全命令を覚える必要はなく、レジスタ・スタック・呼び出し規約という3つの目印さえ押さえれば、迷子になりません。次回はいよいよ、この地図を手に“戻りアドレスの書き換え”という初Pwnに挑戦します。

次回はスタックBoF基礎編。ret書き換え+ret2winで初Pwnを決めましょう。

次に読みたい記事

参考資料