[논문 리뷰] SoK: All You Ever Wanted to Know About x86/x64 Binary Disassembly But Were Afraid to Ask

Chengbin Pang, Ruotong Yu외 5명|arXiv (Cornell University)|2020. 07. 28.

Manufacturing Process and Optimization인용 수 7

한 줄 요약

이 논문은 3,788개의 바이너리에서 작동하는 아홉 개의 오픈소스 도구를 분석함으로써 x86/x64 바이너리 디어셈블리에 대한 지식의 체계적 정리를 제시한다. 디어셈블리 전략은 알고리즘 기반 및 히وري스틱 기반 접근으로 분류되며, 모든 도구가 원칙적인 알고리즘을 사용하지만 히وري스틱에 크게 의존함으로써 코드 커버리지와 정확성 사이의 상충 관계가 발생하며, 이는 각 도구의 강점과 약점을 정의한다.

ABSTRACT

Disassembly of binary code is hard, but necessary for improving the security of binary software. Over the past few decades, research in binary disassembly has produced many tools and frameworks, which have been made available to researchers and security professionals. These tools employ a variety of strategies that grant them different characteristics. The lack of systematization, however, impedes new research in the area and makes selecting the right tool hard, as we do not understand the strengths and weaknesses of existing tools. In this paper, we systematize binary disassembly through the study of nine popular, open-source tools. We couple the manual examination of their code bases with the most comprehensive experimental evaluation (thus far) using 3,788 binaries. Our study yields a comprehensive description and organization of strategies for disassembly, classifying them as either algorithm or else heuristic. Meanwhile, we measure and report the impact of individual algorithms on the results of each tool. We find that while principled algorithms are used by all tools, they still heavily rely on heuristics to increase code coverage. Depending on the heuristics used, different coverage-vs-correctness trade-offs come in play, leading to tools with different strengths and weaknesses. We envision that these findings will help users pick the right tool and assist researchers in improving binary disassembly.

연구 동기 및 목표

• 바이너리 디어셈블리 연구 분야에서 체계화의 부족이 도구 선택과 발전을 저해하고 있으므로 이를 해결하기 위해.
• 인기 있는 오픈소스 디어셈블러 간의 설계 및 행동적 차이를 이해하기 위해.
• 각 도구에서 개별 알고리즘과 히وري스틱이 디어셈블리 결과에 미치는 영향을 측정하기 위해.
• 아홉 도구의 실증적 평가를 바탕으로 디어셈블리 전략의 분류 체계를 제공하기 위해.
• 연구자와 실무자가 적절한 도구를 선택하고 향후 디어셈블리 기법을 개선하는 데 도움이 되도록 하기 위해.

제안 방법

• 저자는 아홉 개의 널리 사용되는 오픈소스 디어셈블러의 코드베이스를 수작업으로 분석하여 내부 전략을 역공학적으로 분석하였다.
• 이전까지 가장 광범위한 실험적 평가를 수행하였으며, 다양한 소프트웨어 분야에 속하는 3,788개의 바이너리를 분석하였다.
• 정확성과 코드 커버리지 측정을 바탕으로 디어셈블리 결과를 평가하였으며, 개별 알고리즘과 히وري스틱의 기여도를 분리하는 데 중점을 두었다.
• 디자인과 영향을 바탕으로 디어셈블리 기법을 원칙적인 알고리즘 또는 히وري스틱 기반 확장으로 분류하였다.
• 알고리즘 기반 기초와 히وري스틱 기반 확장으로의 구분을 포함한 체계적인 전략 분류 체계를 수립하였다.
• 정량적 지표를 사용하여 정확성과 커버리지 사이의 상충 관계를 평가하였으며, 도구별 행동 프로파일을 드러내었다.

실험 결과

연구 질문

• RQ1 현대 오픈소스 도구에서 주로 사용되는 디어셈블리 전략는 무엇이며, 서로 어떻게 다를까?
• RQ2 실제로 디어셈블러들이 히وري스틱에 얼마나 의존하는가?
• RQ3 다양한 히وري스틱 선택은 커버리지와 디어셈블리 정확성 사이의 상충 관계에 어떻게 영향을 미치는가?
• RQ4 개별 알고리즘이 각 도구의 전체 디어셈블리 품질에 미치는 측정 가능한 영향은 무엇인가?
• RQ5 기존 도구의 설계 선택은 향후 연구와 도구 개발에 어떻게 기여할 수 있는가?

주요 결과

• 모든 아홉 도구가 원칙적인 알고리즘을 기초로 사용하지만, 코드 커버리지를 향상시키기 위해 히وري스틱에 크게 의존한다.
• 히وري스틱 선택이 커버리지-정확성 상충 관계에 크게 영향을 미쳐 도구 간에 명확한 행동 프로파일이 형성된다.
• 유사한 핵심 알고리즘을 사용하고 있음에도 불구하고, 히وري스틱의 차이로 인해 디어셈블리 정확성과 커버리지에 상당한 변동성이 존재한다.
• 연구는 히وري스틱 전략가 디어셈블리 결과의 주요 변동 원인임을 규명하였으며, 알고리즘 설계가 아니라 히وري스틱 전략이 핵심 요소임을 확인한다.
• 실험적 평가를 통해 한 번에 높은 커버리지와 높은 정확성을 동시에 확보하는 도구가 존재하지 않음을 확인하였으며, 이는 본질적인 상충 관계를 확인한다.
• 연구 결과는 특정 용도(예: 악성코드 분석, 바이너리 하드닝)에 맞는 도구 선택을 위한 명확한 분류 체계와 실증적 근거를 제공한다.