cmu二进制炸弹

本篇文章参考了:http://www.cnblogs.com/remlostime/archive/2011/05/21/2052708.html大神的文章，有时候没思路了会来看一下，但是保证本文的每个阶段都是自己独立思考后总结写出来的。

Phase_1

对于phase1，我们只要关注一下红色框两行的代码，分别是将内存0x8049678的处的字符串A和ebp+0x8处的字符串B作为参数来调用strings_not_equal子程序，那么这里的逻辑也很明了——要想知道要求我们输入的字符串，只要查看内存0x8049678处的字符串就可以了：

读到phase_4终于想明白为啥DWORD PTR [ebp+0x8]代表的是子程序接受的参数了，子程序调用的模型如下图所示：

ebp+0x4是跨越ebp的4个字节，再加4是跨越返回地址的4个单元，就是这样

---

Phase_2

首先我们还是关注红色的部分，phase_2将eax和[ebp+0x8]这两处的值作为参数传递给<read_six_numbers>子程序，在这里：push eax是因为phase_2在子程序调用后还要用到eax的值，而调用的子程序恰好也要用到eax的值，为了维护eax，caller选择将其压栈，这也是保存eax的一种方法；而[ebp+0x8]处的值则是程序从键盘上读取的我们的输入，作为调用phase_2的参数，而对于这个参数的安放，是整个phase_2最关键的地方！

这两行是read_six_numbers子程序内部的两行代码，首先ebp+0x8处是传递给该子程序的参数，即phase_2的ebp+0x8，即我们键盘输入的6个数。然后该proc用sscanf从该输入中读取数据—— 放到哪里呢？

没错，就是phase_2子程序的绿色一行，如果不加以严谨的测试，我们只通过看代码，黄色的一行设置esi的指定位置，以及后续的循环过程，都能帮助我们推测出 read_six_numbers的sscanf函数就是将输入的字符串读取到了[ebp-0x20]这个位置

如果最科学的做法应该是这样的：我们在绿线的那行设置断点，然后执行程序，然后对第2个函数的参数输入23 x x x x x，x是随机一个整数（不超过int范围），然后我们再观察[ebp-0x20]处的DWORD，就会发现这个值是23——这就证明了我们上面的猜测~

---

 Phase_3

首先看刚开始的红色部分，都是作为调用sscanf函数的参数来压栈的，首先第一个红框不难看出是用来存储参数，那么那个内存地址里面是啥呢？观察一下就可以明了：