Ctrlk
For the complete documentation index, see llms.txt. This page is also available as Markdown.

CSAPP Lab2 Bomblab

Bomblab是第三章 程序的机器级表示 的实验，主要涉及汇编语法和gdb调试。

这个lab要求反编译一个程序，得到六个密码。

Phase 1

使用objdump命令来反编译bomb：

objdump -d bomb > bomb.s

在out.s里就可以看到整个程序反编译出的汇编代码了。

找到main函数的部分，然后找到有关调用phase_1部分的代码，其之前的那一部分就是读入。

  400e32:	e8 67 06 00 00       	call   40149e <read_line>
  400e37:	48 89 c7             	mov    %rax,%rdi
  400e3a:	e8 a1 00 00 00       	call   400ee0 <phase_1>

可以看到这里把%rax的内容移到%rdi储存，然后就调用了phase_1 。于是可以推测输入的内容在%rdi里面。

再看phase_1部分的代码。

0000000000400ee0 <phase_1>:
  400ee0:	48 83 ec 08          	sub    $0x8,%rsp
  400ee4:	be 00 24 40 00       	mov    $0x402400,%esi
  400ee9:	e8 4a 04 00 00       	call   401338 <strings_not_equal>
  400eee:	85 c0                	test   %eax,%eax
  400ef0:	74 05                	je     400ef7 <phase_1+0x17>
  400ef2:	e8 43 05 00 00       	call   40143a <explode_bomb>
  400ef7:	48 83 c4 08          	add    $0x8,%rsp
  400efb:	c3                   	ret

很明显这个程序在比较输入的字符串是否相等，调用的部分是这个strings_not_equal。那么在调用之前，这个程序将地址$0x402400 移到了%esi，很明显就是给比较字符串的函数用的。于是可以推测地址 $0x402400就存了那个我们需要的固定密码。

现在用gdb调试来获取运行时那个地址储存的密码。

使用命令gdb bomb开始调试，然后在phase_1处设置断点：break phase_1

接下来使用r命令来运行它，然后随便输一段密码使程序到达断点位置。

到达我们需要的位置后，输入disas来查看当前阶段的汇编代码，是phase_1无误。

下面就是查看那个地址了。使用x命令即可：x $0x402400

获得密码：Border relations with Canada have never been better.

Phase 2

还是一样，在phase_2处设置断点，然后查看phase_2处的汇编代码。

这里调用了一个函数read_six_numbers，查看它的代码，发现它的主要功能是利用sscanf函数读入6个整数。为什么知道是6个呢？因为sscanf的参数除了要读入的参数外还有两个，而read_six_numbers中将两个参数储存到内存中来传递。我们知道只利用寄存器我们可以给函数传递6个参数，剩下两个通过内存的就是额外的参数，于是我们知道总共传递了8个参数，其中6个是输入的数。

sscanf读入的整数会存在栈里，所以下面留意有关%rsp的操作。

再阅读phase_2的代码：

其实仔细看就会发现这是一个循环，循环部分是+25到+62。

还原一下，首先将栈顶（sscanf返回的值）与1比较，必须是1才能继续，说明第一个密码是1.

接下来eax来保存第一个数，然后*2，与第二个数比较，然后给rbx+0x4，使得下一次比较的是第三个数。以此类推，就是要求是公比为2的等比数列，即1,2,4,8,16,32

密码：1 2 4 8 16 32

Phase 3

一样的，反编译代码观察。

这里还是用到了sscanf，注意到一个特殊点，第二个参数mov $0x4025cf,%esi，其实就是scanf那个格式化串，如"%d"这种。所以可以用命令x 0x4025cf 把它打出来看看：

0x4025cf: "%d %d"

所以我们知道密码是两个整数。下面跟着流程继续走。

观察发现，sscanf的第三、四个参数分别是0x8(%rsp)（即%rsp+8）和0xc(%rxp)（即%rxp+c)。重点留意这两个地址。

由+39得，第一个参数得<=7.

注意到代码里有一部分很奇怪： 0x0000000000400f75 <+50>: jmp *0x402470(,%rax,8)

它的意思是，跳转到(0x402470 + 8 * %rax)的位置，而我们的%rax此时就是第一个输入，<=7。所以可以推测这是一个以0x402470为起始，8字节一个元素，有8个元素的数组。

用指令x/8a 0x402470 打印一下这个数组：

可以发现，这是一个根据第一个输入不同而决定跳转位置不同的跳转表。因此可以猜测原来的程序是一个switch结构。

继续观察结构，发现不同的跳表位置就是给%eax这个参数赋不同值。最后的判定就是%eax最后的值和第二个参数相同。所以我们可以假设第一个参数取0，于是下一步就跳到phase_3+57，赋的值是0xcf（207）。所以我们就可以取密码为0 207。

Phase 4

复习一下寄存器相关的内容。对于32位的寄存器，%eax：储存函数返回值；%edi：第一个参数；%esi：第二个参数；%edx：第三个参数。

还是和前面一样分析sscanf，发现依然是读入两个整数。但是后面发现他将2和%eax的值进行了比较，%eax就是上面说的返回值的寄存器，也就是说这是scanf的返回值。scanf的返回值就是成功匹配的个数，也就是读入的数的个数。于是看到下面的部分就能明白，这是要求只能读入两个整数，否则爆炸：

接下来程序又进行了一个判断：

将第一个参数与0xe比较，参数必须<=0xe（14）才行，否则会爆炸。

下面有三组mov操作，可以看出这是在传参，给后面的func4调用做准备。

传参分别是，第一个参数、0、14. 接下来跟着看下func4的代码。

出现了一个第一次见的指令，shr $0x1f,%ecx ，意思是逻辑右移。后面还有sar，意思是算数右移。

继续阅读，发现代码后面出现了这句：callq 400fce <func4> 明显是在自己调用自己，也就是递归。

既然这是个递归的函数，最好把他写成C代码，这样方便知道他在干什么。

接下来看func4返回后程序干了什么。

这是test指令的一个典型用法，用于判断返回值%eax 是否==0. 也就是说func4的返回值必须为0.

那么回过头去看func4，代入x=0，y=14尝试一下，可以写个暴力程序验证，发现0就可以使得func4不死循环且最终返回0.

后面还发现，

所以密码的第二个数必须为0.

于是得到密码：0 0

Phase 5

一样，看Phase5的代码。注意在main函数这里用了readline放在%rdi里传递给phase_5，所以这次我们应该输入一个字符串。

注意到这里用了一个函数来获得字符串的长度，然后和6比较，因此得知我们必须输入6个字符。

接下来往下读，发现一个比较明显的回溯jump，并且还带计数和比较，所以可以发现这是一个for循环：

可以看出循环总共会进行6次。

循环里有一个神秘地址，用x/s 0x4024b0打出来看看：

0x4024b0 <array.3449>: "maduiersnfotvbylSo you think you can stop the bomb with ctrl-c, do you?"

再回看上面的代码，就算不能完全理解意思，也可以大概猜到，我们输入的6个数是一个索引，程序在根据输入的索引在上面这个字符串里找出6个字符。

继续往下读，找到另外一个神秘地址，x/s 0x40245e打出来看看：

0x40245e: "flyers"

所以尽管我们没有怎么研究其他的代码，我们已经知道这个程序是要我们从上面的长字符串中索引出六个字符“flyers"。那么这个索引可以是9 15 14 5 6 7

事实上，上面那些操作是取我们输入的字符的ascii码的右边四个bit，我们只用找最右边的四个bit对应上面6个数的6个字符就行了。

查表，任意找一组符合上面条件的字符。这里取：)/.%&'

Phase 6

Phase_6的代码反编译出来非常的长，足足被分了四页，说明开始有点复杂了。我们得一点点来看。

在看的时候，首先先观察各种jmp语句，把可能的程序结构给推测出来。

首先发现 0x0000000000401151 <+93>: jmp 0x401114 <phase_6+32>

回跳很明显是一个循环，看看循环前面干了些什么。

首先是又调用了read_six_numbers，看来这次输入又是6个数，每次循环处理一个数。

在理解循环的时候，更多要忽略循环本身的那些操作，更加关注那些显得比较突兀的实际操作，比如下面：

翻译一下就是每个输入必须<=6，否则会爆炸。

在循环中往下读，竟然发现又一个回跳：0x000000000040114b <+87>: jle 0x401135 <phase_6+65>

怎么理解呢？循环嵌套。

那么这个内层循环干了什么？

其中%eax是上一个循环的操作数。嗯，这样理解就是一个遍历，如果我们输入的数有任何一个出现相等就会炸。意思就是输入的六个数要互不相同。

读完这个大循环，我们知道输入必须<=6，且互不相同。

继续阅读，下面又发现一个新循环：

这个循环很好理解，使得每个输入都等于7-它自己。

继续往下看，下面的代码是最难理解的一段。注意到其中有两行可疑的片段：

可以看到这里给%edx赋了一个神秘地址，然后后面又有大量对%edx相关的%rdx进行的8字节的偏移。于是合理猜测，那是个以8字节为单位的数组。我们试着8个字节的看一下这个地址的信息：

x/8 0x6032d0，但是数据没有任何值得总结的，怀疑是因为数据没有输入和处理就被断点卡住了。取消该处断点，在炸弹爆炸处加一个断点，重新调试，这里密码尝试1 2 3 4 5 6。

结果：

可以看到第二行就是1 2，我输入的数字。再看名字，node1、node2，可以得出这是由结构体产生的数据。

理论上应该有6个数字，于是再扩大范围看看那些结构体：

还是有点不明白这结构体有什么用，换个输入6 5 4 3 2 1试试看：

似乎有变化！数据排序依然是从node1到6，但第三个数据变了。根据数据的顺序相反，两个结构体的属性的头和尾也会相反。。可以想到，这完全就是一个链表，第三个数据就是节点的next指针！

好了，现在我们知道我们输入的六个数会被存在类似链表的结构中。下面理解（猜测）代码就会容易一些了。

继续往下阅读代码，找到又一个循环：

前面了解过，0x8(%rbx)的地址偏移刚好可以取到下一个数的对应地址。这时候比的就是两个node的第一个数据，假设为value。如果node1.value<node2.value，就会爆炸。

所以这行代码的作用就是验证下一节点的val值是否严格小于当前节点的val值。

为了使得链表的顺序符合要求，前面的程序肯定是根据某种规则安排节点的顺序（由上面我们的测试，猜测是根据输入的数的顺序）。那么我们就必须想办法安排输入的顺序使得前面的程序完成工作后value值符合递减要求。

首先把上面node1-6的value算出来：332 168 924 691 477 443，按递减顺序是3 4 5 6 1 2。由于传递到这里的值前面是用7-输入的值得到的，所以原始的输入应该对7取个差： 4 3 2 1 6 5

顺利解决。

这个lab还是挺有意思，但难度也挺大的。有些地方真的很难完全理解，只能借助猜测和感性理解、调试测试来完成。完成后对汇编表示的理解以及gdb的使用都有很大帮助。

上一页CSAPP Lab1. Datalab下一页C++每日一题

最后更新于