LAB boom实验报告

$0x804a23e,0x4(%esp)，我们查看 0x804a23e 的值结
再根据语句 0x08048e50 <+34>: call 0x8048840 <__isoc99_sscanf@plt> 0x08048e55 <+39>: cmp $0x2,%eax 说明我们要输入两个整型数，下面的工作就是判断这两个整型数分别是什么。由代码 0x08048e6b <+61>: movl $0xe,0x8(%esp) 0x08048e73 <+69>: movl $0x0,0x4(%esp) 0x08048e7b <+77>: mov -0xc(%ebp),%eax 0x08048e7e <+80>: mov %eax,(%esp) 可以看出我们以第一个参数，0 ，14 为参数传入递归函数中而且返回值为 1，所以我们这时做的 事情就是分析 func4 函数，看第一个参数为多少时返回值能为 1，而第二个参数有代码 0x08048e8b <+93>: cmpl $0x1,-0x10(%ebp) 0x08048e8f <+97>: je 0x8048e9d <phase_4+111> 可知第二个参数就为 1。 下面分析 func4
我们希望它的返回值为 0 这样根据 0x1(%eax,%eax,1),%eax 返回值就是 1 了，最简单的一种情 况就是 14 和 8 经过运算后结果为 11 而参数 1 恰好等于 11 的情况，更复杂一些的情况就是它又 调用了 0x08048b97 <+55>: call 0x8048b60 <func4>，再由它的返回值再继续推理，所以 此题有多种答案，最简单的就是 11，1。
Phase2： 汇编代码
由此可见第一、 二 个密码是 0、1.
首先看到了 call
0x804910b <read_six_numbers>所以可以猜测这道关可能是要输入 6 个
数字，所以先把汇编代码弄出来。
事实上经过过程的分析我们确实需要输入 6 个数字并且存储在-0x20 （%ebp） 到-0xc （%ebp） 的位置上，由上述的代码所给出的注释可以得到第一个数为 0 第二个为 1，然后代码进入一个循 环，这个循环所表达的意思就是第 3 个数字等于前两个数字的和也就是 1，第四个数字等于第 2 个和第 3 个数字的和，以此类推，我们得到这 6 个数字分别为 0 1 1 2 3 5.验证结果如下：
循环以后%edx 必定等于 15 0x08048e1b <+99>: jne 0x8048e22 <phase_5+106> 0x08048e1d <+101>: cmp %ecx,-0x10(%ebp) // 我们所输入的第二个参数的值 等于循环之后%ecx 的结果，也就是数组中 15 个值累加的结果 0x08048e20 <+104>: je 0x8048e27 <phase_5+111> 0x08048e22 <+106>: call 0x80490d1 <explode_bomb> 0x08048e27 <+111>: add $0x20,%esp 0x08048e2a <+114>: pop %ebx 0x08048e2b <+115>: pop %esi 0x08048e2c <+116>: pop %ebp 0x08048e2d <+117>: ret 与 phase3 相同 0x08048dce <+22>: movl $0x804a23e,0x4(%esp) 我们查看这个语 句中地址的值得到“%d，%d”结合语句 0x08048ddc <+36>: call 0x8048840 <__isoc99_sscanf@plt> 0x08048de1 <+41>: cmp $0x1,%eax 说明和 phase3 一样我们需要输入两个整型数，下面的工作就是确定整型数的值，首先取我 们所要输入的第一个参数的后四位，如果它的后四位全为 1 那么就会爆炸，所以后四位不可能全 为 1.接着就是一个循环的过程了，这个循环我们可以尝试写成 c 代码来解决 c 代码如下： int c=0; int d=0; int b=a[0]; While(a[n]!=15) { d++; n=a[n]; c=c+n; } 根据 0x08048e18 <+96>: cmp $0xf,%edx 我们知道 c 代码中的 d 在最后循环结束时 的值为 15，也就是循环要进行 15 次，根据 0x08048e1d <+101>: cmp %ecx,-0x10(%ebp) 最后 c 的值就是第二个参数。而第一个参数在取后四位之后循环之后的结果是 15。看到循环 中的 0x08048dce <+22>: movl $0x804a23e,0x4(%esp)语句我最开始想到的是又是一个立 即数所以我查看了它的值发现如下图所示，<arry.3488+1>，加上 0x08048e0b <+83>: mov (%ebx,%eax,4),%eax 我联想到这是一个数组，0x804a1c0 是数组的首地址，我们用 p/x *（0x804a1c0）@16 来 查看这个数组。如下图所示：
Phase5： 汇编代码 Dump of assembler code for function phase_5: 0x08048db8 <+0>: push %ebp 0x08048db9 <+1>: mov %esp,%ebp 0x08048dbb <+3>: push %esi 0x08048dbc <+4>: push %ebx 0x08048dbd <+5>: sub $0x20,%esp 0x08048dc0 <+8>: lea -0x10(%ebp),%eax 0x08048dc3 <+11>: mov %eax,0xc(%esp) 0x08048dc7 <+15>: lea -0xc(%ebp),%eax 0x08048dca <+18>: mov %eax,0x8(%esp) 0x08048dce <+22>: movl $0x804a23e,0x4(%esp) 0x08048dd6 <+30>: mov 0x8(%ebp),%eax 0x08048dd9 <+33>: mov %eax,(%esp) 0x08048ddc <+36>: call 0x8048840 <__isoc99_sscanf@plt> 0x08048de1 <+41>: cmp $0x1,%eax //所输入的值的个数应该大于 1 0x08048de4 <+44>: jg 0x8048deb <phase_5+51> 0x08048de6 <+46>: call 0x80490d1 <explode_bomb> 0x08048deb <+51>: mov -0xc(%ebp),%eax 0x08048dee <+54>: and $0xf,%eax //将%eax 中的值与 0xf 做逻辑与运算 0x08048df1 <+57>: mov %eax,-0xc(%ebp) //将相与后的结果传入地址-0xc(%ebp) 0x08048df4 <+60>: cmp $0xf,%eax //比较%eax 中的值，结果不能等于 15 0x08048df7 <+63>: je 0x8048e22 <phase_5+106> 0x08048df9 <+65>: mov $0x0,%ecx 0x08048dfe <+70>: mov $0x0,%edx 0x08048e03 <+75>: mov $0x804a1c0,%ebx //将数组的首地址中的值传入%edx 0x08048e08 <+80>: add $0x1,%edx //进入循环 0x08048e0b <+83>: mov (%ebx,%eax,4),%eax //将数组中第%eax 位置的值传 给%eax 0x08048e0e <+86>: add %eax,%ecx //将每次%eax 的值累加起来 0x08048e10 <+88>: cmp $0xf,%eax //比较%eax 和 15 若等于则跳出循环 0x08048e13 <+91>: jne 0x8048e08 <phase_5+80> 0x08048e15 <+93>: mov %eax,-0xc(%ebp) //将得到的%eax 的值传入-0xc(%ebp) 0x08048e18 <+96>: cmp $0xf,%edx //比较%edx 和 15， 如不等于会 bomb！ 所以
以下的操作就是 0x314-0x35a+0x2ef-0x216+0x216-0x216+0x216-0x216 结果为 147 cmp -0x10(%ebp),%eax 这个语句说明 147 就是我们所要输入的第二个参数。 验证结果如下：