前言：
- 本实验bomblab对应于《深入理解计算机系统》第三章——程序的机器级表示。
- 实验内容是执行给定的可执行文件bomb，它由六个phase组成，每个phase都要求在标准输入流中输入，如果输入正确那么该阶段的炸弹拆除，否则引爆炸弹并退出程序，而我们的任务即拆除所有phase的炸弹。
- 那么如何知道正确的输入呢？我们需要对bomb二进制文件进行反汇编，通过阅读汇编代码，并可以借助调试来推导答案。
- 六个phase的难度逐级加大但也相互铺垫，因此即使到了后面也不用感到害怕，反而看汇编代码的速度会有所上升，可以更快地发现代码中隐藏的循环结构，完成本实验后，我们对汇编语言有了更好的理解。
- 先以供把玩的bomb进行尝试，本日志完整记录了对其的探索过程；个人的bomb解法类似，故不再赘述。
准备工作：
因为在云主机上配置好了gdb调试器，本实验在ucloud上运行。
- 先将bomb可执行二进制文件上传至服务器
- 进行反汇编：
objdump -d bomb_5 > my_bomb_assembly.S - 再下载到本地分析汇编代码（注意不论是上传文件还是下载文件都是在本地终端，要退出云主机！！！这里犯了傻，一直报路径错误却怎么也发现不了问题所在）
scp csapp07@106.75.241.219:/home/csapp07/myfile/my_bomb_assembly.S /Users/zhengbeini/Downloads/bomb(将文件位置和目标位置换个顺序)
直接找到phase所在位置开始分析：
Phase1：
0000000000400ee0 <phase_1>:
# 输入相等字符串：
400ee0: 48 83 ec 08 sub $0x8,%rsp
400ee4: be 00 24 40 00 mov $0x402400,%esi # x/s 0x402400："Border relations with Canada have never been better."
400ee9: e8 4a 04 00 00 callq 401338 <strings_not_equal> # 比较两个字符串是否相等
400eee: 85 c0 test %eax,%eax # 比较返回结果是否为0
400ef0: 74 05 je 400ef7 <phase_1+0x17> # 为0：跳转至返回位置
400ef2: e8 43 05 00 00 callq 40143a <explode_bomb> # 否则：爆炸
400ef7: 48 83 c4 08 add $0x8,%rsp
400efb: c3 retq
分析完上述汇编代码后，知道是将0x402400处存放的字符串和一个字符串进行比较并且要相等，尝试输入该字符串，果然成功解决第一关，还比较简单。
Phase2：
0000000000400efc <phase_2>:
400efc: 55 push %rbp
400efd: 53 push %rbx
400efe: 48 83 ec 28 sub $0x28,%rsp
400f02: 48 89 e6 mov %rsp,%rsi
400f05: e8 52 05 00 00 callq 40145c <read_six_numbers> # 读取六个数
400f0a: 83 3c 24 01 cmpl $0x1,(%rsp) # 比较(%rsp)即第一个数和1
400f0e: 74 20 je 400f30 <phase_2+0x34> # 相等则跳转，否则爆炸
400f10: e8 25 05 00 00 callq 40143a <explode_bomb>
400f15: eb 19 jmp 400f30 <phase_2+0x34>
#循环开始
400f17: 8b 43 fc mov -0x4(%rbx),%eax # %eax=第一个数
400f1a: 01 c0 add %eax,%eax # %eax*=2
400f1c: 39 03 cmp %eax,(%rbx) # 比较第一个数和第二个数
400f1e: 74 05 je 400f25 <phase_2+0x29> # 必须相等跳过爆炸
400f20: e8 15 05 00 00 callq 40143a <explode_bomb>
400f25: 48 83 c3 04 add $0x4,%rbx # %rbx+=4，再指向下一个地址
400f29: 48 39 eb cmp %rbp,%rbx # 比较%rbx和%rbp判断指针是否到达边界
400f2c: 75 e9 jne 400f17 <phase_2+0x1b> # 没有则继续循环
400f2e: eb 0c jmp 400f3c <phase_2+0x40> # 否则return
#循环结束
400f30: 48 8d 5c 24 04 lea 0x4(%rsp),%rbx # %rbx=第二个数
400f35: 48 8d 6c 24 18 lea 0x18(%rsp),%rbp # 0x18(%rsp)=(%rsp)+24即数组边界
400f3a: eb db jmp 400f17 <phase_2+0x1b>
400f3c: 48 83 c4 28 add $0x28,%rsp
400f40: 5b pop %rbx
400f41: 5d pop %rbp
400f42: c3 retq
前面两行是在保留寄存器，第三行提供栈空间，第四行把%rsp的值赋值给%rsi，暂时不知道有什么用。第五行开始，从函数名很容易获取信息读取六个数，然后将1和(%rsp)的值进行比较，必须相等，否则就引爆炸弹，那么(%rsp)的值是什么呢？再回到调用前的代码，发现先把栈顶指针%rsp赋值给%rsi，而根据已学知识，%rsi很有可能是第二个参数，输入的六个数可能就存放在%rsi即栈顶位置开始，那么(%rsp)也就是我们输入的第一个数，尝试打断点在比较处*0x400f0a，观察(%rsp)的值（先获取%rsp指针指向的地址，往后读取一个数），果然是输入的第一个数，所以第一个数必须输入1，而0x4(%rsp)是指向第二个数的地址，0x18(%rsp)即数组边界。

继续阅读代码，发现它是一个循环操作，%rbp是指向数组元素的指针，每次指向下一个元素，比较是否是前一个元素的两倍，直至到达边界条件0x18(%rsp)退出循环。
因此输入的六个数要求为第一个数为1，以后每个元素都要是前一个数的两倍，输入序列为：1 2 4 8 16 32。
Phase3：
0000000000400f43 <phase_3>:
400f43: 48 83 ec 18 sub $0x18,%rsp
400f47: 48 8d 4c 24 0c lea 0xc(%rsp),%rcx
400f4c: 48 8d 54 24 08 lea 0x8(%rsp),%rdx
400f51: be cf 25 40 00 mov $0x4025cf,%esi #0x4025cf："%d %d"
400f56: b8 00 00 00 00 mov $0x0,%eax
400f5b: e8 90 fc ff ff callq 400bf0 <__isoc99_sscanf@plt>
400f60: 83 f8 01 cmp $0x1,%eax # 比较%eax和1
400f63: 7f 05 jg 400f6a <phase_3+0x27># 必须>，否则爆炸
400f65: e8 d0 04 00 00 callq 40143a <explode_bomb>
400f6a: 83 7c 24 08 07 cmpl $0x7,0x8(%rsp) # 比较0x8(%rsp)和0x7
400f6f: 77 3c ja 400fad <phase_3+0x6a># 0x8(%rsp)在0～7之间
400f71: 8b 44 24 08 mov 0x8(%rsp),%eax # %eax=第一个数
# 跳转表开始
400f75: ff 24 c5 70 24 40 00 jmpq *0x402470(,%rax,8) # %eax作为偏移量跳转
400f7c: b8 cf 00 00 00 mov $0xcf,%eax
400f81: eb 3b jmp 400fbe <phase_3+0x7b>
400f83: b8 c3 02 00 00 mov $0x2c3,%eax
400f88: eb 34 jmp 400fbe <phase_3+0x7b>
400f8a: b8 00 01 00 00 mov $0x100,%eax
400f8f: eb 2d jmp 400fbe <phase_3+0x7b>
400f91: b8 85 01 00 00 mov $0x185,%eax
400f96: eb 26 jmp 400fbe <phase_3+0x7b>
400f98: b8 ce 00 00 00 mov $0xce,%eax
400f9d: eb 1f jmp 400fbe <phase_3+0x7b>
400f9f: b8 aa 02 00 00 mov $0x2aa,%eax
400fa4: eb 18 jmp 400fbe <phase_3+0x7b>
400fa6: b8 47 01 00 00 mov $0x147,%eax
400fab: eb 11 jmp 400fbe <phase_3+0x7b>
# 跳转表结束
400fad: e8 88 04 00 00 callq 40143a <explode_bomb>
400fb2: b8 00 00 00 00 mov $0x0,%eax
400fb7: eb 05 jmp 400fbe <phase_3+0x7b>
400fb9: b8 37 01 00 00 mov $0x137,%eax
400fbe: 3b 44 24 0c cmp 0xc(%rsp),%eax # 第二个数和%eax比较
400fc2: 74 05 je 400fc9 <phase_3+0x86> # 要求相等
400fc4: e8 71 04 00 00 callq 40143a <explode_bomb>
400fc9: 48 83 c4 18 add $0x18,%rsp
400fcd: c3 retq
开始%rcx=0xc(%rsp)，%rdx=%0x8(%rsp)，暂时不知道有什么用，继续将0x4025cf赋值给%esi，使用gdb调试器查看到了0x4025cf存放的是“%d %d”，
把%rax赋值为0赋值为0，然后调用scanf输入函数。
调用完函数后，把%rax的值和1进行比较，必须大于1，否则会引爆炸弹，查了一下scanf函数返回值是输入值的个数，也就是说输入值的个数必须大于1。结合之前的格式字符串，猜测有可能是要我们输入两个数。
再无符号比较0x8(%rsp)的值是否大于7，如果大于7则引爆炸弹，说明0x8(%rsp)的值必须在一个0～7之间，它有可能就是我们要输入的第一个数值，gdb调试验证了猜想。
然后把第一个数值赋值给%rax，下面就进入到无条件跳转语句“*0x402470(,%rax,8)”，*0x402470是一个奇怪的地址，尝试用(gdb) x/s 0x402470查看结果，输出“0x400f7c <phase_3+57>: “\270”, <incomplete sequence \317>”，其中“0x400f7c”是下一行指令地址，再加上一个偏移量8%rax，即为跳转地址，继续往下看，它把%eax进行了赋值，然后就跳转，接下来的多行语句都是相同的操作，因此这应该是一个跳转表。到跳转目标400fbe处查看，它将0xc(%rsp)和%rax进行比较，0xc(%rsp)很容易知道它是输入的第二个数，必须相等否则引爆。
综上所述，也就是说输入两个数，一个数在0～7之间，第二个数根据第一个数对应跳转表获得，相当于switch语句。
由此可知有八个可能的结果，但是很奇怪的是汇编代码中只显示七个语句，测试了一下从第二条赋值语句开始对应的偏移量为2，也就是少了偏移量为1的赋值语句，但这并不影响：
| 偏移量%rax | 跳转地址 | 对应十六进制值 | 十进制值 |
|---|---|---|---|
| 0 | 0x0000000000400f7c | 0xcf | 207 |
| 2 | 0x0000000000400f83 | 0x2c3 | 707 |
| 3 | 0x0000000000400f8a | 0x100 | 256 |
| 4 | 0x0000000000400f91 | 0x185 | 389 |
| 5 | 0x0000000000400f98 | 0xce | 206 |
| 6 | 0x0000000000400f9f | 0x2aa | 682 |
| 7 | 0x0000000000400fa6 | 0x147 | 327 |
最低0.47元/天 解锁文章
扫一扫
1万+
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
