CSAPP - bomblab phase_2 分析

2024-01-14 03:04
文章标签 分析 phase csapp bomblab

本文主要是介绍CSAPP - bomblab phase_2 分析，希望对大家解决编程问题提供一定的参考价值，需要的开发者们随着小编来一起学习吧！

CSAPP - bomblab phase_2 分析

文章目录

    • CSAPP - bomblab phase_2 分析
      • 概要
      • 第一次反编译 phase_2()
      • 反编译 explode_bomb()
      • 反编译 read_six_numbers()
      • 第二次反编译 phase_2
      • 整理： 合并所有反编译出的代码

概要

bomblab phase_2 的答案，网络上相关的文章、视频有不少了。不过反汇编这件事情，只看别人答案还是没法覆盖一个汇编小白的技术盲点的，真实的反汇编过程也往往不是想答案那样，一次性顺畅得到结果的。

对于 phase_2, 我尝试翻译 phase_2 的汇编代码到 C 代码， 第一次失败了（临时变量分配栈空间，不熟悉），并且遇到了一些疑问：

  • explode_bomb() 调用了好几次，为什么随便输入一个错的输入，炸弹只爆炸一次？
  • read_six_numbers() 的输入参数是怎样的？第二个参数必须是6个int大小吗？

实际上，直觉仅仅是提供了猜想方向，实际工程中很多 bug 的排查，如果相信了函数名字，就不需要排查 bug 了。要利用汇编知识和调试技能，充分验证你的猜想，恐怕这才是 bomblab 的意义； 而 “输入的数字是6个，第一个数字是1，并且是公比为2的等比数列”这个答案，是在执行了反编译后，自然而然的答案。即使 read_six_numbers() 故意改为 read_seven_numbers()， 我依然可以分析得出正确答案。

第一次反编译 phase_2()

(gdb) disassemble phase_2
Dump of assembler code for function phase_2:                        // phase_2(char* input) {0x0000000000400efc <+0>:     push   rbp                          //0x0000000000400efd <+1>:     push   rbx                          //0x0000000000400efe <+2>:     sub    rsp,0x28                     //0x0000000000400f02 <+6>:     mov    rsi,rsp                      // ??0x0000000000400f05 <+9>:     call   0x40145c <read_six_numbers>  // read_six_numbers(input, ??);0x0000000000400f0a <+14>:    cmp    DWORD PTR [rsp],0x1          // if (*rsp == 1)0x0000000000400f0e <+18>:    je     0x400f30 <phase_2+52>        //      goto label520x0000000000400f10 <+20>:    call   0x40143a <explode_bomb>      // explode_bomb();0x0000000000400f15 <+25>:    jmp    0x400f30 <phase_2+52>        // goto label52;0x0000000000400f17 <+27>:    mov    eax,DWORD PTR [rbx-0x4]      // eax = *(rbx - 4);0x0000000000400f1a <+30>:    add    eax,eax                      // eax *= 2;0x0000000000400f1c <+32>:    cmp    DWORD PTR [rbx],eax          // if (*rbx == eax)0x0000000000400f1e <+34>:    je     0x400f25 <phase_2+41>        //      goto label41;0x0000000000400f20 <+36>:    call   0x40143a <explode_bomb>      // explode_bomb()0x0000000000400f25 <+41>:    add    rbx,0x4                      // rbx += 40x0000000000400f29 <+45>:    cmp    rbx,rbp                      // if (rbx != rbp)0x0000000000400f2c <+48>:    jne    0x400f17 <phase_2+27>        //      goto label270x0000000000400f2e <+50>:    jmp    0x400f3c <phase_2+64>        // goto label640x0000000000400f30 <+52>:    lea    rbx,[rsp+0x4]                // char* rbx = rsp + 40x0000000000400f35 <+57>:    lea    rbp,[rsp+0x18]               // char* rbp = rsp + 240x0000000000400f3a <+62>:    jmp    0x400f17 <phase_2+27>        // goto label270x0000000000400f3c <+64>:    add    rsp,0x28                     //0x0000000000400f40 <+68>:    pop    rbx                          //0x0000000000400f41 <+69>:    pop    rbp                          //0x0000000000400f42 <+70>:    ret                                 // return
End of assembler dump.

很明显， 逐句翻译汇编代码遇到了瓶颈。对于汇编小白，这很正常。先记录下来，逐一击破：

  • sub rsp, 0x28 和 mov rsi, rsp 是在干啥？
  • explode_bomb() 调用了多次吗？随便输入一组数据，为啥只输出一次 BOMB!!!
  • read_six_numbers() 是在干啥？会不会暗藏炸弹？

反编译 explode_bomb()

在分析 phase_2 的汇编代码时， 发现调用了多次 explode_bomb. 比如准备一个非法的输入： 0 1 2 3 4 5， 在仅仅查看 phase_2 汇编代码情况下，直觉会认为应该输出多次 BOOM!!!

然而实际只输出一次。这不免让人疑惑，explode_bomb() 里调用了 exit 吗？ 反汇编看看:

(gdb) disassemble explode_bomb
Dump of assembler code for function explode_bomb:           // void explode_bomb() {0x000000000040143a <+0>:     sub    rsp,0x8              //0x000000000040143e <+4>:     mov    edi,0x4025a3         // x /s 0x4025a3 得到 "\nBOOM!!!"0x0000000000401443 <+9>:     call   0x400b10 <puts@plt>  // puts("\nBOOM!!!");0x0000000000401448 <+14>:    mov    edi,0x4025ac         // x /s 0x4025ac 得到 "The bomb has blown up."0x000000000040144d <+19>:    call   0x400b10 <puts@plt>  // puts("The bomb has blown up.");0x0000000000401452 <+24>:    mov    edi,0x8              // int t = 8;0x0000000000401457 <+29>:    call   0x400c20 <exit@plt>  // exit(t);
End of assembler dump.

C代码整理一下：

void explode_bomb()
{puts("\nBOOM!!!");puts("The bomb has blown up.");exit(8);
}

反编译 read_six_numbers()

   0x0000000000400e44 <+164>:   mov    edi,0x4023a80x0000000000400e49 <+169>:   call   0x400b10 <puts@plt>0x0000000000400e4e <+174>:   call   0x40149e <read_line>0x0000000000400e53 <+179>:   mov    rdi,rax0x0000000000400e56 <+182>:   call   0x400efc <phase_2>

Dump of assembler code for function phase_2:0x0000000000400efc <+0>:     push   rbp0x0000000000400efd <+1>:     push   rbx0x0000000000400efe <+2>:     sub    rsp,0x280x0000000000400f02 <+6>:     mov    rsi,rsp0x0000000000400f05 <+9>:     call   0x40145c <read_six_numbers>

上述两段汇编，用来确认， read_six_numbers() 的第一个输入，是 char* input。

(gdb) disassemble read_six_numbers
Dump of assembler code for function read_six_numbers:                   // void read_six_numbers(char* input, int* data) {0x000000000040145c <+0>:     sub    rsp,0x18                         // int* temp[3];0x0000000000401460 <+4>:     mov    rdx,rsi                          // int* c0 = data;0x0000000000401463 <+7>:     lea    rcx,[rsi+0x4]                    // int* c1 = &data[1];0x0000000000401467 <+11>:    lea    rax,[rsi+0x14]                   // int* c5 = &data[5];0x000000000040146b <+15>:    mov    QWORD PTR [rsp+0x8],rax          // temp[1] = c5;0x0000000000401470 <+20>:    lea    rax,[rsi+0x10]                   // int* c4 = &data[4];0x0000000000401474 <+24>:    mov    QWORD PTR [rsp],rax              // temp[0] = c4;0x0000000000401478 <+28>:    lea    r9,[rsi+0xc]                     // int* c3 = &data[3]0x000000000040147c <+32>:    lea    r8,[rsi+0x8]                     // int* c2 = &data[2]0x0000000000401480 <+36>:    mov    esi,0x4025c3                     // x /x 0x4025c3 结果为 "%d %d %d %d %d %d"0x0000000000401485 <+41>:    mov    eax,0x0                          // int ret = 00x000000000040148a <+46>:    call   0x400bf0 <__isoc99_sscanf@plt>   // int ret = sscanf(input, "%d %d %d %d %d %d", c0, c1, c2, c3, temp[0], temp[1]);0x000000000040148f <+51>:    cmp    eax,0x5                          // if (ret > 5)0x0000000000401492 <+54>:    jg     0x401499 <read_six_numbers+61>   //      goto label610x0000000000401494 <+56>:    call   0x40143a <explode_bomb>          // explode_bomb()0x0000000000401499 <+61>:    add    rsp,0x18                         //0x000000000040149d <+65>:    ret                                     // }
End of assembler dump.

x86_64 架构中用于传递函数参数时，如果参数都是整数（或整数指针），那么：

rdi：第一个整数参数
rsi：第二个整数参数
rdx：第三个整数参数
rcx：第四个整数参数
r8：第五个整数参数
r9：第六个整数参数

第七个和第八个参数，用栈传递，那么这两个参数各自占用的栈空间都是 64 位。

这是因为 x86_64 架构中，栈上的数据总是以 64 位为单位对齐的。这意味着即使您传递一个 32 位的参数，它在栈上也会占用 64 位的空间。

因此，第七个和第八个参数，用栈传递，那么这两个参数各自占用的栈空间都是 64 位。

正因如此， 上述反编译过程中， sscanf() 的最后两个参数，才得以确认。

void read_six_numbers(char* input, int* data)
{int* temp[3];int*c0 = data;int* c1 = &data[1];int* c5 = &data[5];temp[1] = c5;int* c4 = &data[4];temp[0] = c4;int* c3 = &data[3];int* c2 = &data[2];int ret = sscanf(input, "%d %d %d %d %d %d", c0, c1, c2, c3, temp[0], temp[1]);if (ret > 5){return;}explode_bomb();
}

第二次反编译 phase_2

这里涉及到了栈的增长。在 x86_64 中，栈底位于高地址，栈顶位于低地址，栈增长意味着栈顶向栈底的相反方向延伸， 也就是说新的栈顶的地址值，是变小了，也就是做减法。rsp 表示栈顶指针。

于是乎可以理解，sub rsp, 0x28 是说栈空间增加 0x28 (40) 字节。这40字节用来存放临时变量。

栈的初始状态：
+-----------------+
|                 | <- 栈顶 (rsp)
+-----------------+
|                 |
+-----------------+
|                 |
+-----------------+
|                 |
+-----------------+
|                 |
+-----------------+
|                 |
+-----------------+
|                 | <- 栈底 (高地址)
+-----------------+执行 sub rsp, 0x28 后的状态：
+-----------------+
|   未使用空间    | <- 新的栈顶 (rsp - 0x28)
+-----------------+
|                 |
+-----------------+
|                 |
+-----------------+
|                 |
+-----------------+
|   预留空间       | <- 旧的栈顶 (rsp)
+-----------------+
|                 |
+-----------------+
|                 |
+-----------------+
|                 | <- 栈底 (高地址)
+-----------------+栈增长方向：向下（地址减小）

请注意，栈上的 “未使用空间” 现在变成了 “预留空间”，用于存储局部变量或为函数调用做准备。这块空间的大小是 0x28 (40字节)。

(gdb) disassemble phase_2
Dump of assembler code for function phase_2:                        // phase_2(char* input) {0x0000000000400efc <+0>:     push   rbp                          //0x0000000000400efd <+1>:     push   rbx                          //0x0000000000400efe <+2>:     sub    rsp,0x28                     // 临时变量使用。可以先看做 char mem[40];0x0000000000400f02 <+6>:     mov    rsi,rsp                      // 无法确定 read_six_numbers() 第二个参数是什么，盲猜是 int data[10];0x0000000000400f05 <+9>:     call   0x40145c <read_six_numbers>  // read_six_numbers(input, data);0x0000000000400f0a <+14>:    cmp    DWORD PTR [rsp],0x1          // if (data[0] == 1)0x0000000000400f0e <+18>:    je     0x400f30 <phase_2+52>        //      goto label520x0000000000400f10 <+20>:    call   0x40143a <explode_bomb>      // explode_bomb();0x0000000000400f15 <+25>:    jmp    0x400f30 <phase_2+52>        // goto label52;0x0000000000400f17 <+27>:    mov    eax,DWORD PTR [rbx-0x4]      // int t = *(p1-1);0x0000000000400f1a <+30>:    add    eax,eax                      // t *= 2;0x0000000000400f1c <+32>:    cmp    DWORD PTR [rbx],eax          // if (*p1 == t)0x0000000000400f1e <+34>:    je     0x400f25 <phase_2+41>        //      goto label41;0x0000000000400f20 <+36>:    call   0x40143a <explode_bomb>      // explode_bomb()0x0000000000400f25 <+41>:    add    rbx,0x4                      // p1++;0x0000000000400f29 <+45>:    cmp    rbx,rbp                      // if (p1 != p2)0x0000000000400f2c <+48>:    jne    0x400f17 <phase_2+27>        //      goto label270x0000000000400f2e <+50>:    jmp    0x400f3c <phase_2+64>        // goto label640x0000000000400f30 <+52>:    lea    rbx,[rsp+0x4]                // int* p1 = &data[1];0x0000000000400f35 <+57>:    lea    rbp,[rsp+0x18]               // int* p2 = &data[6]; // 0x18 = 16+8 = 24, 24/4=60x0000000000400f3a <+62>:    jmp    0x400f17 <phase_2+27>        // goto label270x0000000000400f3c <+64>:    add    rsp,0x28                     //0x0000000000400f40 <+68>:    pop    rbx                          //0x0000000000400f41 <+69>:    pop    rbp                          //0x0000000000400f42 <+70>:    ret                                 // return
End of assembler dump.

void phase_2(char* input)
{int data[10];read_six_numbers(input, data);if (data[0] == 1){goto label52;}explode_bom();goto label52;
label27:int t = *(p1-1);t *= 2;if (*p1 == t){goto label41;}explode_bomb();
label41:p1++;if (p1 != p2){goto label27;}goto label64;
label52:int* p1 = &data[1];int* p2 = &data[6];goto label27;
label64:return;
}

void phase_2(char* input)
{int data[10];read_six_numbers(input, data);if (data[0] == 1){goto label52;}explode_bom();label52:int* p1 = &data[1];int* p2 = &data[6];label27:int t = *(p1-1);t *= 2;if (*p1 == t){goto label41;}explode_bomb();
label41:p1++;if (p1 != p2){goto label27;}goto label64;label64:return;
}

void phase_2(char* input)
{int data[10];read_six_numbers(input, data);if (data[0] != 1){explode_bomb();}int* p1 = &data[1];int* p2 = &data[6];while (true){int t = *(p1-1);if (*p1 != t){explode_bomb();}p1++;if (p1 == p2){return;}}
}

整理： 合并所有反编译出的代码

void explode_bomb()
{puts("\nBOOM!!!");puts("The bomb has blown up.");exit(8);
}void read_six_numbers(char* input, int* data)
{int* temp[3];int*c0 = data;int* c1 = &data[1];int* c5 = &data[5];temp[1] = c5;int* c4 = &data[4];temp[0] = c4;int* c3 = &data[3];int* c2 = &data[2];int ret = sscanf(input, "%d %d %d %d %d %d", c0, c1, c2, c3, temp[0], temp[1]);if (ret > 5){return;}explode_bomb();
}void phase_2(char* input)
{int data[10];read_six_numbers(input, data);if (data[0] != 1){explode_bomb();}int* p1 = &data[1];int* p2 = &data[6];while (true){int t = *(p1-1);if (*p1 != t){explode_bomb();}p1++;if (p1 == p2){return;}}
}

这篇关于CSAPP - bomblab phase_2 分析的文章就介绍到这儿，希望我们推荐的文章对编程师们有所帮助！


http://www.chinasem.cn/article/603725。

相关文章

性能分析之MySQL索引实战案例

性能分析之MySQL索引实战案例

文章目录 一、前言二、准备三、MySQL索引优化四、MySQL 索引知识回顾五、总结 一、前言 在上一讲性能工具之 JProfiler 简单登录案例分析实战中已经发现SQL没有建立索引问题，本文将一起从代码层去分析为什么没有建立索引？ 开源ERP项目地址：https://gitee.com/jishenghua/JSH_ERP 二、准备 打开IDEA找到登录请求资源路径位置
阅读更多...
SWAP作物生长模型安装教程、数据制备、敏感性分析、气候变化影响、R模型敏感性分析与贝叶斯优化、Fortran源代码分析、气候数据降尺度与变化影响分析

SWAP作物生长模型安装教程、数据制备、敏感性分析、气候变化影响、R模型敏感性分析与贝叶斯优化、Fortran源代码分析、气候数据降尺度与变化影响分析

查看原文>>>全流程SWAP农业模型数据制备、敏感性分析及气候变化影响实践技术应用 SWAP模型是由荷兰瓦赫宁根大学开发的先进农作物模型，它综合考虑了土壤-水分-大气以及植被间的相互作用；是一种描述作物生长过程的一种机理性作物生长模型。它不但运用Richard方程，使其能够精确的模拟土壤中水分的运动，而且耦合了WOFOST作物模型使作物的生长描述更为科学。 本文让更多的科研人员和农业工作者
阅读更多...
MOLE 2.5 分析分子通道和孔隙

MOLE 2.5 分析分子通道和孔隙

软件介绍 生物大分子通道和孔隙在生物学中发挥着重要作用，例如在分子识别和酶底物特异性方面。 我们介绍了一种名为 MOLE 2.5 的高级软件工具，该工具旨在分析分子通道和孔隙。 与其他可用软件工具的基准测试表明，MOLE 2.5 相比更快、更强大、功能更丰富。作为一项新功能，MOLE 2.5 可以估算已识别通道的物理化学性质。 软件下载 https://pan.quark.cn/s/57
阅读更多...
衡石分析平台使用手册-单机安装及启动

衡石分析平台使用手册-单机安装及启动

单机安装及启动​ 本文讲述如何在单机环境下进行 HENGSHI SENSE 安装的操作过程。 在安装前请确认网络环境，如果是隔离环境，无法连接互联网时，请先按照 离线环境安装依赖的指导进行依赖包的安装，然后按照本文的指导继续操作。如果网络环境可以连接互联网，请直接按照本文的指导进行安装。 准备工作​ 请参考安装环境文档准备安装环境。 配置用户与安装目录。 在操作前请检查您是否有 sud
阅读更多...
线性因子模型 - 独立分量分析（ICA）篇

线性因子模型 - 独立分量分析（ICA）篇

序言 线性因子模型是数据分析与机器学习中的一类重要模型，它们通过引入潜变量（ latent variables \text{latent variables} latent variables）来更好地表征数据。其中，独立分量分析（ ICA \text{ICA} ICA）作为线性因子模型的一种，以其独特的视角和广泛的应用领域而备受关注。 ICA \text{ICA} ICA旨在将观察到的复杂信号
阅读更多...
【软考】希尔排序算法分析

【软考】希尔排序算法分析

目录 1. c代码2. 运行截图3. 运行解析 1. c代码 #include <stdio.h>#include <stdlib.h> void shellSort(int data[], int n){// 划分的数组，例如8个数则为[4, 2, 1]int *delta;int k;// i控制delta的轮次int i;// 临时变量，换值int temp;in
阅读更多...
三相直流无刷电机(BLDC)控制算法实现：BLDC有感启动算法思路分析

三相直流无刷电机(BLDC)控制算法实现：BLDC有感启动算法思路分析

一枚从事路径规划算法、运动控制算法、BLDC/FOC电机控制算法、工控、物联网工程师，爱吃土豆。如有需要技术交流或者需要方案帮助、需求：以下为联系方式—V 方案1：通过霍尔传感器IO中断触发换相 1.1 整体执行思路 霍尔传感器U、V、W三相通过IO+EXIT中断的方式进行霍尔传感器数据的读取。将IO口配置为上升沿+下降沿中断触发的方式。当霍尔传感器信号发生发生信号的变化就会触发中断在中断
阅读更多...
kubelet组件的启动流程源码分析

kubelet组件的启动流程源码分析

概述 摘要: 本文将总结kubelet的作用以及原理，在有一定基础认识的前提下，通过阅读kubelet源码，对kubelet组件的启动流程进行分析。 正文 kubelet的作用 这里对kubelet的作用做一个简单总结。 节点管理 节点的注册 节点状态更新 容器管理(pod生命周期管理) 监听apiserver的容器事件 容器的创建、删除(CRI) 容器的网络的创建与删除
阅读更多...
PostgreSQL核心功能特性与使用领域及场景分析

PostgreSQL核心功能特性与使用领域及场景分析

PostgreSQL有什么优点？ 开源和免费 PostgreSQL是一个开源的数据库管理系统，可以免费使用和修改。这降低了企业的成本，并为开发者提供了一个活跃的社区和丰富的资源。 高度兼容 PostgreSQL支持多种操作系统（如Linux、Windows、macOS等）和编程语言（如C、C++、Java、Python、Ruby等），并提供了多种接口（如JDBC、ODBC、ADO.NET等
阅读更多...
OpenCV结构分析与形状描述符（11）椭圆拟合函数fitEllipse()的使用

OpenCV结构分析与形状描述符（11）椭圆拟合函数fitEllipse()的使用

操作系统：ubuntu22.04 OpenCV版本：OpenCV4.9 IDE:Visual Studio Code 编程语言：C++11 算法描述 围绕一组2D点拟合一个椭圆。 该函数计算出一个椭圆，该椭圆在最小二乘意义上最好地拟合一组2D点。它返回一个内切椭圆的旋转矩形。使用了由[90]描述的第一个算法。开发者应该注意，由于数据点靠近包含的 Mat 元素的边界，返回的椭圆/旋转矩形数据
阅读更多...

Copyright China编程 23002807@qq.com

沪ICP备2023033072号-2