超精講-逐例分析CS:LAB2-Bomb!(上）

周小倫發表於2021-01-20

0. 環境要求

關於環境已經在lab1裡配置過了這裡要記得安裝gdb

安裝命令 sudo yum install gdb

實驗的下載地址 http://csapp.cs.cmu.edu/3e/labs.html

gbd的命令地址 http://csapp.cs.cmu.edu/2e/docs/gdbnotes-x86-64.pdf

知乎同款連線 https://zhuanlan.zhihu.com/p/339461318

這裡我們需要使用objdump -d ./bomb >> bomb.s反彙編工具來得到彙編程式碼。

下面就開始舉世盛名的bomb 實驗吧

1. 第一關

粗讀 main 函式

  initialize_bomb();

   printf("Welcome to my fiendish little bomb. You have 6 phases with\n");
   printf("which to blow yourself up. Have a nice day!\n");
    /* Hmm...  Six phases must be more secure than one phase! */
   input = read_line();             /* Get input                   */
   phase_1(input);                  /* Run the phase               */
   phase_defused();                 /* Drat!  They figured it out!

通過簡單的閱讀理解應該知道這裡面的phase_1 就是我們的第一關了,然後根據函式名稱 input = read_line() 應該是要驗證我們的輸入是否合理，我們先亂輸入一個看看先執行起來

(gdb) r
Starting program: /csapp/bomb/bomb 
warning: Error disabling address space randomization: Operation not permitted
Welcome to my fiendish little bomb. You have 6 phases with
which to blow yourself up. Have a nice day!

輸入hello wordl

hello world
BOOM!!!
The bomb has blown up.
[Inferior 1 (process 67) exited with code 010]

果然?了下面開始分析我們的彙編程式碼來嘗試得到結果

閱讀bomb.s 理清思路

0000000000400ee0 <phase_1>:
  400ee0:	48 83 ec 08          	sub    $0x8,%rsp
  400ee4:	be 00 24 40 00       	mov    $0x402400,%esi
  400ee9:	e8 4a 04 00 00       	callq  401338 <strings_not_equal>
  400eee:	85 c0                	test   %eax,%eax
  400ef0:	74 05                	je     400ef7 <phase_1+0x17>
  400ef2:	e8 43 05 00 00       	callq  40143a <explode_bomb>
  400ef7:	48 83 c4 08          	add    $0x8,%rsp
  400efb:	c3                   	retq

這個邏輯應該是很簡單的不熟悉彙編程式碼的同學可以參考一下csapp原書的第三章

1 行分配棧幀
2 行把立即數0x402400 放到暫存器esi中那我們知道這是用來第二個引數的暫存器
3-4 行呼叫 strings_not_equal 函式然後判斷返回值是否為0，如果是0就跳到400ef7然後恢復棧幀結束否則就呼叫explode_bomb引爆炸彈所以核心就在於strings_not_equal函式

閱讀strings_not_equal 函式

emm 這個函式太長就只放重點了我們重點關注esi暫存器因為上面我們傳遞了一個引數
```
 40133f:	48 89 f5             	mov    %rsi,%rbp
 40134a:	48 89 ef             	mov    %rbp,%rdi
 40134d:	e8 c9 ff ff ff       	callq  40131b <string_length> 
 40135c:	0f b6 03             	movzbl (%rbx),%eax
 401363:	3a 45 00             	cmp    0x0(%rbp),%al
```
這裡我們可以發現他把m[rbx]->eax 然後比較m[rbp] 和al暫存器裡面的值(也就是%eax裡面的值)

這就是說我們需要比較的就是在0x402400位置處的字串和題目預定輸入的字串是否相同，中間有很多判斷字串長度是否相同的程式碼請大家自行閱讀吧。所以我們可以檢視0x402400位置的值然後直接輸入這個結果就好
```
(gdb) x/s 0x402400
0x402400:	"Border relations with Canada have never been better."
```
我們輸入Border relations with Canada have never been better.就可以拆掉第一個炸彈

2. 第二關

首先還是差不多的程式碼邏輯對於輸入進行判斷，合格就可以通過

    input = read_line();
    phase_2(input);
    phase_defused();
    printf("That's number 2.  Keep going!\n");

慢讀phase_2的彙編程式碼

  400efe:	48 83 ec 28          	sub    $0x28,%rsp
  400f02:	48 89 e6             	mov    %rsp,%rsi
  400f05:	e8 52 05 00 00       	callq  40145c <read_six_numbers>
  400f0a:	83 3c 24 01          	cmpl   $0x1,(%rsp)

分配大小為40位元組的棧幀然後把棧幀指標傳遞給%rsi暫存器接下來呼叫read_six_numbers

轉入read_six_numbers函式

000000000040145c <read_six_numbers>:
  40145c:	48 83 ec 18          	sub    $0x18,%rsp
  401460:	48 89 f2             	mov    %rsi,%rdx
  401463:	48 8d 4e 04          	lea    0x4(%rsi),%rcx
  401467:	48 8d 46 14          	lea    0x14(%rsi),%rax
  40146b:	48 89 44 24 08       	mov    %rax,0x8(%rsp)
  401470:	48 8d 46 10          	lea    0x10(%rsi),%rax
  401474:	48 89 04 24          	mov    %rax,(%rsp)
  401478:	4c 8d 4e 0c          	lea    0xc(%rsi),%r9
  40147c:	4c 8d 46 08          	lea    0x8(%rsi),%r8
  401480:	be c3 25 40 00       	mov    $0x4025c3,%esi
  401485:	b8 00 00 00 00       	mov    $0x0,%eax
  40148a:	e8 61 f7 ff ff       	callq  400bf0 <__isoc99_sscanf@plt>
  40148f:	83 f8 05             	cmp    $0x5,%eax
  401492:	7f 05                	jg     401499 <read_six_numbers+0x3d>
  401494:	e8 a1 ff ff ff       	callq  40143a <explode_bomb>
  401499:	48 83 c4 18          	add    $0x18,%rsp
  40149d:	c3                   	retq

簡單分析一下這個彙編程式碼這個需要我們輸入6個數字然後進行比較這裡還有如果數字不滿足6個的健壯性判斷

下面按順序構建sscanf所需要的引數

首先我們分析一下sscanf函式

(gdb) x/s 0x4025c3
0x4025c3: "%d %d %d %d %d %d"

我們發現sscanf函式所需要的第二個引數居然是這樣的格式這就表示我們會依次把六個數讀入到他所傳遞的3-8個引數裡面我們知道3-6個引數可以用暫存器傳遞剩下的兩個引數則要利用棧幀來傳遞

%rsi 儲存在phase_2裡面傳入的%rsp的值也就是棧幀的起始地址

我們檢視%esi的值發現居然是這樣那麼就表示我們的sscanf函式需要的是
%rdx，由%rsi給出，%rsi又由phrase_2的%rsp給出，所以phrase2中的%rsp地址處存放sscanf中第一個輸入的值
%rcx也就是在phase_2%rsp+0x4中存放著第二個值
%r8也就是在phase_2%rsp+0x8中存放著第三個值
%r9也就是在phase_2%rsp+0xc中存放著第四個值
在該函式的%rsp 中存放著第五個值也就是我們把0x10(%rsi),%rax放進了rsp
在該函式的%rsp+0x8 中存放著第六個值也就是我們把0x14(%rsi),%rax放進了rsp

上面就是對所有值的分析下面我們來依次分析這些值

上面的描述會比較亂，這裡用一個非常醜的圖來表示這個引數的構造過程1st表示第一個引數依次類推。
3. 回到phase_2

  400f0a:	83 3c 24 01          	cmpl   $0x1,(%rsp)
  400f0e:	74 20                	je     400f30 <phase_2+0x34>
  400f10:	e8 25 05 00 00       	callq  40143a <explode_bomb>
  400f15:	eb 19                	jmp    400f30 <phase_2+0x34>
  400f17:	8b 43 fc             	mov    -0x4(%rbx),%eax
  400f1a:	01 c0                	add    %eax,%eax
  400f1c:	39 03                	cmp    %eax,(%rbx)
  400f1e:	74 05                	je     400f25 <phase_2+0x29>
  400f20:	e8 15 05 00 00       	callq  40143a <explode_bomb>
  400f25:	48 83 c3 04          	add    $0x4,%rbx
  400f29:	48 39 eb             	cmp    %rbp,%rbx
  400f2c:	75 e9                	jne    400f17 <phase_2+0x1b>
  400f2e:	eb 0c                	jmp    400f3c <phase_2+0x40>
  400f30:	48 8d 5c 24 04       	lea    0x4(%rsp),%rbx
  400f35:	48 8d 6c 24 18       	lea    0x18(%rsp),%rbp
  400f3a:	eb db                	jmp    400f17 <phase_2+0x1b>
  400f3c:	48 83 c4 28          	add    $0x28,%rsp
  400f40:	5b                   	pop    %rbx
  400f41:	5d                   	pop    %rbp
  400f42:	c3                   	retq

找(rsp) 這裡有一個和1的比較可以發現這裡必須等於1不然直接引爆炸彈了所以第一個值就是1
找(%rsp+0x4)
```
 400f17:	8b 43 fc             	mov    -0x4(%rbx),%eax
 400f1a:	01 c0                	add    %eax,%eax
 400f1c:	39 03                	cmp    %eax,(%rbx)
```
這三行就是關鍵程式碼因為我們在跳轉之後把rsp+0x4賦給了rbp 那上述程式碼的前兩行就是把rsp裡的值翻倍然後放到rsp+0x4 也就是第二個引數是2

剩下的過程就可以迴圈了六個數分別應該是1,2,4,8,16,32

Phase 1 defused. How about the next one?
1 2 4 8 16 32
That's number 2.  Keep going!

3. 第三關

好傢伙我倒要看看complex code 有多複雜邏輯首先還是一樣都是判斷輸入是否合法

    /* I guess this is too easy so far.  Some more complex code will
     * confuse people. */
    input = read_line();
    phase_3(input);
    phase_defused();
    printf("Halfway there!\n");

1. 閱讀phase_3

 400f43:	48 83 ec 18          	sub    $0x18,%rsp
 400f47:	48 8d 4c 24 0c       	lea    0xc(%rsp),%rcx
 400f4c:	48 8d 54 24 08       	lea    0x8(%rsp),%rdx
 400f51:	be cf 25 40 00       	mov    $0x4025cf,%esi
 400f56:	b8 00 00 00 00       	mov    $0x0,%eax
 400f5b:	e8 90 fc ff ff       	callq  400bf0 <__isoc99_sscanf@plt>
 400f60:	83 f8 01             	cmp    $0x1,%eax
 400f63:	7f 05                	jg     400f6a <phase_3+0x27>

分配棧幀

利用%rdx 也就是0x8+%rsp和利用%rcx 也就是0xc+%rsp傳遞sscanf函式用的第三和第四個引數
第二個引數為一個常數0x4025cf隨後呼叫<__isoc99_sscanf@plt> 這裡注意一下sscanf如果呼叫成功的話會返回2這裡如果成功的話會跳轉到400f6a這裡讀入的rdx和rcx的值就是我們輸入的第一個和第二個數

2. 繼續閱讀phase_3

  400f6a:	83 7c 24 08 07       	cmpl   $0x7,0x8(%rsp)
  400f6f:	77 3c                	ja     400fad <phase_3+0x6a>
  400f71:	8b 44 24 08          	mov    0x8(%rsp),%eax
  400f75:	ff 24 c5 70 24 40 00 	jmpq   *0x402470(,%rax,8)
  400f7c:	b8 cf 00 00 00       	mov    $0xcf,%eax
  400f81:	eb 3b                	jmp    400fbe <phase_3+0x7b>
  400f83:	b8 c3 02 00 00       	mov    $0x2c3,%eax
  400f88:	eb 34                	jmp    400fbe <phase_3+0x7b>
  400f8a:	b8 00 01 00 00       	mov    $0x100,%eax
  400f8f:	eb 2d                	jmp    400fbe <phase_3+0x7b>
  400f91:	b8 85 01 00 00       	mov    $0x185,%eax
  400f96:	eb 26                	jmp    400fbe <phase_3+0x7b>
  400f98:	b8 ce 00 00 00       	mov    $0xce,%eax
  400f9d:	eb 1f                	jmp    400fbe <phase_3+0x7b>
  400f9f:	b8 aa 02 00 00       	mov    $0x2aa,%eax
  400fa4:	eb 18                	jmp    400fbe <phase_3+0x7b>
  400fa6:	b8 47 01 00 00       	mov    $0x147,%eax
  400fab:	eb 11                	jmp    400fbe <phase_3+0x7b>
  400fad:	e8 88 04 00 00       	callq  40143a <explode_bomb>
  400fb2:	b8 00 00 00 00       	mov    $0x0,%eax
  400fb7:	eb 05                	jmp    400fbe <phase_3+0x7b>
  400fb9:	b8 37 01 00 00       	mov    $0x137,%eax
  400fbe:	3b 44 24 0c          	cmp    0xc(%rsp),%eax
  400fc2:	74 05                	je     400fc9 <phase_3+0x86>
  400fc4:	e8 71 04 00 00       	callq  40143a <explode_bomb>
  400fc9:	48 83 c4 18          	add    $0x18,%rsp
  400fcd:	c3                   	retq

%rdx裡的值必須小於等於7否則直接爆炸然後關鍵來了我們把第一個輸入的值傳給%eax然後在就是一步關鍵操作
我們要跳轉到m[0x402470+r[%rax]*8]這裡我們以傳入的第一個引數也就是%rdx的值為0為例子那我要跳轉的地址就是m[0x402470] check 一下這裡面是什麼值
```
(gdb) x/x 0x402470
0x402470:	0x00400f7c
```
可以發現我們接下來要跳到0x400f7c這裡去

節選有關程式碼分析

  400f7c:	b8 cf 00 00 00       	mov    $0xcf,%eax
  400f81:	eb 3b                	jmp    400fbe <phase_3+0x7b>
  400fbe:	3b 44 24 0c          	cmp    0xc(%rsp),%eax
  400fc2:	74 05                	je     400fc9 <phase_3+0x86>
  400fc4:	e8 71 04 00 00       	callq  40143a <explode_bomb>
  400fc9:	48 83 c4 18          	add    $0x18,%rsp

這裡我們先把0xcf傳遞給%eax 然後比較0xc(%rsp)也就是我們輸入的第二個引數如果和eax相等則完成這表示0 和 0xcf=207 就是一個合法答案

0 207
Halfway there!

這裡注意我們的第一個引數可以任取<=7的任何數然後去檢視不同的地址得到不同的跳轉地址也就會有不同的答案這裡再給出一個例子如果第一個引數為1那麼m[0x402470+r[%rax]*8]=m[0x402470+8]也就是我們要去看一下m[0x402478]

(gdb) x/x 0x402478
0x402478:	0x00400fb9

這次變成了另一地址我們接著分析一下後面會發生什麼事

 400fb9:	b8 37 01 00 00       	mov    $0x137,%eax
 400fbe:	3b 44 24 0c          	cmp    0xc(%rsp),%eax
 400fc2:	74 05                	je     400fc9 <phase_3+0x86>
 400fc4:	e8 71 04 00 00       	callq  40143a <explode_bomb>
 400fc9:	48 83 c4 18          	add    $0x18,%rsp
 400fcd:	c3                   	retq

那這就是判斷第二個引數是否等於0x137下面我們來試試1 和 311是否可以

1 311
Halfway there!

可以發現也是可以的其他例子就不在演示了

4. 第四關

好傢伙考察數學能力開衝

 /* Oh yeah?  Well, how good is your math?  Try on this saucy problem! */
    input = read_line();
    phase_4(input);
    phase_defused();
    printf("So you got that one.  Try this one.\n");

1.讀phase_4

  40100c:	48 83 ec 18          	sub    $0x18,%rsp
  401010:	48 8d 4c 24 0c       	lea    0xc(%rsp),%rcx
  401015:	48 8d 54 24 08       	lea    0x8(%rsp),%rdx
  40101a:	be cf 25 40 00       	mov    $0x4025cf,%esi
  40101f:	b8 00 00 00 00       	mov    $0x0,%eax
  401024:	e8 c7 fb ff ff       	callq  400bf0 <__isoc99_sscanf@plt>
  401029:	83 f8 02             	cmp    $0x2,%eax
  40102c:	75 07                	jne    401035 <phase_4+0x29>

前面的程式碼幾乎和上面的沒差,rdx儲存了我們讀入的第一個引數rcx儲存了我們讀入的第二個引數這裡同樣有對sscanf的判斷如果不成功直接爆炸

2.繼續分析phase_4

	40102e:	83 7c 24 08 0e       	cmpl   $0xe,0x8(%rsp)
  401033:	76 05                	jbe    40103a <phase_4+0x2e>
  401035:	e8 00 04 00 00       	callq  40143a <explode_bomb>
  40103a:	ba 0e 00 00 00       	mov    $0xe,%edx
  40103f:	be 00 00 00 00       	mov    $0x0,%esi
  401044:	8b 7c 24 08          	mov    0x8(%rsp),%edi
  401048:	e8 81 ff ff ff       	callq  400fce <func4>
  40104d:	85 c0                	test   %eax,%eax
  40104f:	75 07                	jne    401058 <phase_4+0x4c>
  401051:	83 7c 24 0c 00       	cmpl   $0x0,0xc(%rsp)
  401056:	74 05                	je     40105d <phase_4+0x51>
  401058:	e8 dd 03 00 00       	callq  40143a <explode_bomb>
  40105d:	48 83 c4 18          	add    $0x18,%rsp
  401061:	c3                   	retq

這裡我們需要把m[rsp+8]=r[%rdx] 的值和0xe比較。我們設第一個輸入的引數是a則a > 0xe則直接爆炸。否則我們構建對呼叫func4的引數func4(0x8(%rsp),0,0xe) 這裡的第一個引數就是我們的a注意後面的我們把0和m[0xc(%rsp)]=r[%rcx] 進行比較如果想等則退出也就表示了我們第二個引數必須為0

3.去看func4

對於程式碼的分析直接寫到註釋上了

0000000000400fce <func4>:（a,0,0xe）
  400fce:	48 83 ec 08          	sub    $0x8,%rsp  //分配棧幀
  400fd2:	89 d0                	mov    %edx,%eax  // %eax=0xe
  400fd4:	29 f0                	sub    %esi,%eax  // %eax=%eax-0=0xe
  400fd6:	89 c1                	mov    %eax,%ecx  // %ecx=%eax=0xe
  400fd8:	c1 e9 1f             	shr    $0x1f,%ecx //對%ecx的值邏輯右移31位
  400fdb:	01 c8                	add    %ecx,%eax  //%eax=%eax+%ecx=0xe
  400fdd:	d1 f8                	sar    %eax       //%eax=%eax>>1=0x7
  400fdf:	8d 0c 30             	lea    (%rax,%rsi,1),%ecx //%ecx=0x7+0x0=0x7
  400fe2:	39 f9                	cmp    %edi,%ecx  //%ecx-%edi=0x7-a
  400fe4:	7e 0c                	jle    400ff2 <func4+0x24>  //if <=0 則跳轉

我們可以看到對於我們輸入的第一個引數a 存在if a>=7 則會跳轉到400ff2 我們不妨輸入a=7

下面看一下0x400ff2

 400ff2:	b8 00 00 00 00       	mov    $0x0,%eax    //返回值為0
 400ff7:	39 f9                	cmp    %edi,%ecx    //再一次比較%ecx-%edi=0x7-a 
 400ff9:	7d 0c                	jge    401007 <func4+0x39> // if a<=7 則跳出
 400ffb:	8d 71 01             	lea    0x1(%rcx),%esi  // 否則我們把%esi++重寫執行
 400ffe:	e8 cb ff ff ff       	callq  400fce <func4>
 401003:	8d 44 00 01          	lea    0x1(%rax,%rax,1),%eax
 401007:	48 83 c4 08          	add    $0x8,%rsp
 40100b:	c3                   	retq

可以發現這是一個簡單的for 迴圈我們直接用a=7 直接卡了這個迴圈的邊界條件直接可以過掉本題

非常迅速的做完了第四個嘿嘿

7 0
So you got that one.  Try this one.

不過本著學習的目的我們還是要知道這整個遞迴函式都發生了什麼。在網上隨便找了一個版本的c語言程式碼來分析一下

void func4(int x,int y,int z)  //y的初始值為0，z的初始值為14,t->%rax,k->%ecx
{
  int t=z-y;
  int k=t>>31;
  t=(t+k)>>1;
  k=t+y;
  if(k>x)
  {
    z=k-1;
    func4(x,y,z);
    t=2t;
    return;
  }
  else
   {
     t=0;
     if(k<x)
     {
        y=k+1;
        func4(x,y,z);
        t=2*t+1;
        return;
     }
     else
     {
         return;
     }
   }
}

分析得x = k的時候，t=0，即 %eax 為 0 。然後就可以回到 phase_4 。

超精講-逐例分析 CSAPP：實驗2-Bomb!(下)
2021-01-28
APP
cs上線
2020-10-21
第6講需求分析--uml用例圖
2024-05-02
精講Redis服務架構分析與搭建
2018-06-17
Redis架構
Go runtime 排程器精講（七）：案例分析
2024-09-15
Go
一次RAC例項驅逐詳細分析及解決方案
2018-06-06
一次詳細的RAC 節點例項驅逐分析文件
2021-05-06
故障分析 | MySQL鎖等待超時一例分析
2022-11-23
MySql
Synchronized 精講
2021-01-11
synchronized
CUDA精講（1）
2020-10-09
Mysql 索引精講
2019-05-08
MySql索引
精講Redis：持久化
2018-06-21
Redis持久化
Vue —— 精講 VueRouter（1）
2020-06-14
Vue
Vue —— VueX精講(1）
2020-06-11
Vue
圖文並茂-超詳解 CS:APP: Lab3-Attack（附帶棧幀分析)
2021-02-02
APP
IP packet reassembles failed導致例項被驅逐
2022-04-15
AI
Java Class檔案結構例項分析（上）
2018-10-14
Java
Steam本月三破線上紀錄，現已超2343萬，《CS:GO》排名第一
2020-03-31
Go
React高階元件精講
2018-09-14
React元件
Java設計模式精講
2019-05-20
Java設計模式
微前端：好、壞、醜逐個分析！ - KBall
2019-06-19
前端
精講響應式WebClient第4篇-檔案上傳與下載
2020-08-23
Webclient
精講Redis記憶體模型
2018-06-19
Redis記憶體模型
【原創】HashMap複習精講
2019-08-05
HashMap
Flutter動畫之粒子精講
2019-07-16
Flutter動畫
精講Python中的requests方法
2021-09-11
Python
Adobe Dreamweaver CS6綠色精簡破解版下載
2018-10-06
ELK日誌分析系統超詳細！！理論+實操講解！！
2020-11-13
資料分析專案精講！電商平臺人、貨、場分析實戰，附資料來源
2020-12-25
Docker精華，超全文件！
2020-06-21
Docker
分散式之 Redis 複習精講
2018-05-28
分散式Redis
方法精講-言語1筆記
2024-08-16
筆記
Mvvm 前端資料流框架精講
2018-04-01
MVVM前端框架
Django模型中的save方法精講
2024-07-27
Django模型
微信小程式開發精講
2024-10-15
微信小程式
c# System.Text.Json 精講
2021-11-29
C#JSON
A*演算法（超級詳細講解，附有舉例的詳細手寫步驟）
2020-11-17
演算法
精講響應式WebClient第5篇-請求超時設定與異常處理
2020-08-24
Webclient