디스어셈블러

디스어셈블러(Disassembler, 역어셈블러)는 기계어로 된 실행 파일을 사람이 읽을 수 있는 어셈블리 명령어로 되돌려 보여 주는 프로그램이다. 이 작업을 디스어셈블(역어셈블)이라 한다.

개요

어셈블러가 어셈블리어를 기계어로 바꾸는 것과 반대 방향의 일을 한다. 원시 코드가 없는 프로그램이 무엇을 하는지 알아내는 역공학과 악성코드 분석에서 가장 먼저 쓰는 도구이고, 프로그램을 실행하지 않고 코드를 읽으므로 정적 분석 도구에 속한다.

기계어에는 변수 이름·주석·자료형 같은 정보가 남아 있지 않아, 디스어셈블한 결과는 주소와 레지스터로 된 명령어 나열이다. 분석가는 여기에 함수 이름과 주석을 붙여 가며 흐름을 읽는다.

도구	하는 일	분석 방식
디스어셈블러	기계어를 어셈블리 명령어로 되돌린다	정적
디컴파일러	기계어나 바이트코드를 C·자바 같은 고급 언어 형태로 되살린다	정적
디버거	프로그램을 실제로 실행하면서 한 명령씩 멈추고 레지스터·메모리 값을 본다	동적
언패커	실행 압축된 파일에서 원래 코드를 풀어낸다 → 패커	분석 준비

선형 스윕(Linear Sweep) : 코드 영역의 처음부터 끝까지 명령어를 차례로 해석한다. 단순하지만 코드 사이에 끼운 데이터를 명령어로 잘못 읽는다
재귀 하강(Recursive Traversal) : 분기·호출을 따라가며 실제로 실행될 경로만 해석한다. 데이터 오인은 줄지만 간접 점프의 목적지를 놓칠 수 있다

대표적인 도구로 IDA, Ghidra, objdump, radare2 가 있다. 많은 도구가 디스어셈블과 디컴파일을 함께 한다.

악성코드 제작자는 디스어셈블한 결과를 읽기 어렵게 만든다.