发表于 2023-06-16

Bomb Lab

查看bomb.c可以看到源代码的大致结构

反汇编main函数：

disas main

根据汇编代码和原函数的对应关系，可以猜测方框处为对应的printf函数，打印出相应位置的字符串。

phase_1

phase_1首先调用read_line函数，调用函数时返回值保存至%rax寄存器中，之后调用phase_1(input)，在汇编调用中mov %rax, %rdi，%rdi寄存器用于函数调用时的参数传递，因此可以猜测%rdi中为输入的字符串的首地址。

反汇编phase_1，目标是要拆除bomb，则%eax的值应该为0，否则会调用explode_bomb。

反汇编strings_not_equal和其中的string_length

0对应于ASCII码的空字符，空字符是字符串的结束符，因此string_length为判断以%rdi为首地址的字符串的字符串的长度，并用%rax寄存器返回。

所以在strings_not_equal中，首先判断%rsi ，%rdi为首地址的字符串长度是否相同，长度相同的话逐字符比较是否相等，如果两个字符串相等，%rax=0，并返回。%rdi为输入的字符串，则%rsi为要判断是否相等的字符串，找出其地址，在汇编代码phase_1中，为0x402400，gdb查看内容。

phase_2

查看phase_2的汇编代码

查看调用的read_six_numbers函数汇编代码

可以发现函数读入6个int型数据，其中四个数据的存储位置通过寄存器传递，另外两个通过栈进行传递。

传递函数参数的寄存器

在read_six_numbers中（下图为16进制）：

分析phase_2的汇编代码，先判断(%rsp)处的值是否为1，然后与自己相加，即乘以2后与下一个数比较，依次向下，直到数据末尾。因此要输入的字符串为

1 2 4 8 16 32

phase_3

查看phase_3的汇编代码

在蓝色框中调用了scanf函数，并且返回值要大于1，否则炸弹会爆炸。

可以看到scanf接受两个int值。

设置断点，随便输入两个数测试，发现0xc(%rsp)处为输入的第二个数，0x8(%rsp)处为输入的第一个数。

则phase_3的汇编代码读入两个数后，将输入的第一个数与7比较，小于则跳转到*0x402470(, x, 8)处，x为输入的第一个数。

输入的第一数为1时，跳转到0x400fb9，此处的指令将%eax寄存器的值设为0x137=311，并与第二个数比较。不同则调用explode_bomb。

因此输入为1 311，也可选择输入别的数。

phase_4

与phase_3一样，这里也要输入两个数，同时还可以看出第一个数小于等于14，第二个数为0。通过寄存器给func4传递了三个参数%edi（输入的第一个数），%esi（0），%edx（0xe=14）

这里递归调用了func4函数，将汇编代码转换成等价的C代码，用a表示%edi的值，b表示%esi的值，c表示%edx的值

用标记t表示蓝色框最后%eax的值，则[（c-b）>>31+（c-b）] >> 1

下面用tmp表示执行完0x400fdf后%ecx的值：

#include <iostream>
using namespace std;
int fun4(int a, int b, int c)
{
    int tmp = (((c - b) + ((c - b) >> 31)) >> 1) + b;
    if (tmp <= a)
    {
        if (tmp >= a)
            return 0;
        else
            return (fun4(a, tmp + 1, c) * 2 + 1);
    }
    else
        return fun4(a, b, tmp - 1) * 2;
}
int main()
{
    for (int i = 0; i <= 14; i++)
    {
        if (fun4(i, 0, 14) == 0)
            cout << i << " ";
    }
    getchar();
}