潜入 Bomb Lab 拆弹记

date
Mar 19, 2018
slug
bomb-lab
status
Published
tags
Programming
Computer Science
Assembly
summary
KA BOOOM~
type
Post

Dr. Evil's Insidious Bomb

Bomb Lab 是 《深入理解计算机系统》 (Computer Systems A Programmer's perspective) 中对应第三章内容：程序的机器级表示的lab。主要内容为提供一个二进制对象文件bomb，当运行时，它会要求用户输入六个字符串，如果其中的任何一个不正确，炸弹就会爆炸，输出一行错误信息。
学生必须通过反汇编和逆向工程来找到六个正确的字符串来解除自己的炸弹
理论上每个人的炸弹答案都不同, 本文章仅供参考

拆弹工具

  • objdump - 用于反汇编二进制对象文件
  • gedit - 用于查看反汇编后的结果与文本文件的编写
  • gdb - 用于运行时单步调试与查看运行时内存与寄存器信息

开始拆弹

第一阶段

① 从call 804901a <strings_not_equal>这里在比较字符串应该可以猜到第一关要我们输入的是一串字符，如果输入的字符和它要求 的字符串一样的话，就ok,不然就会boom。
首先，在进入bomb函数前先设置断点，先找到call 8049125 <explode_bomb>，输入b *0x8049125
②然后输入r,运行
③找到movl $0x804a13c,0x4(%esp)，输入p (char*)0x804a13c打印出存放的内容
④退出gdb，输入./bomb，输入刚刚输出的字符串，即可成功拆掉第一弹。

第二阶段

  1. 首先我们观察8048bc7这一行，它调用了read_six_numbers这个方法读取六个数字。所以我们要输入六个数字
  1. 炸弹的触发条件很明确，一旦%eax和参数不相等，那么炸弹便会爆炸。否则继续拆弹循环。
  1. 在第一个循环时，%eax和parameter（i+1）做比较，以此类推。
  1. 而%eax=%ebx+parameter（i）,同时我们可以很惊奇的发现8048beb 每次都对%ebx 自增1, 我们可以把 ebx 看作为 for 循环时的迭代数字。 所以整个问题便迎刃而解了。只要满足parameter（i+1）= i + parameter（i）就不会引爆炸弹
  1. 同时由开头的代码处（8048bd1） 可以看出，第一个数字必须大于等于0，否则立马引爆炸弹。我觉得使用1作为第一个数字。
  1. 而从最后的代码可以看出这个循环会进行5次，也就是对输入的前6个参数进行比较。所以答案可以是
所以阶段2的答案为1 2 4 7 11 16.

第三阶段

  1. 下一步调用了库函数sscanf，我们想到sscanf中的参数中需要一个格式化字符串，那么esp中的这个地址值就很有可能存放了这个字符串，我们同样使用gdb在运行时查看这个字符串：
  1. 下面第x行将eax与1进行比较，eax一般用于存放函数返回值，而sscanf 的返回值是成功读入的数值个数，也就是说这几行将成功读入的个数与1进行比较，如果大于1则跳过引爆的代码。
  1. 下面第x行将esp+0x18中存放的值与0x7进行比较，如果大于则跳到8048c75的位置，我们看这个地址的指令：
假设读入的第一个数为x，看到所有分支最后都跳转到了8048c86 这行判断 (cmp) 中，将eax中的值与esp+0x1c也就是我们读入的第二个数进行判断，如果相等的话跳过引爆代码。
  1. 结果详细分析，我们得出了等价的伪代码
  1. 通过以上等价代码也就是说我们只要根据不同的第一个参数的值读入对应的第二个参数就可以了，所以我们可以随意选择一个x值，这里我选择x=1，对应的第二个参数为0x119换成十进制是281，所以第3阶段的答案为：
A的值
B的值
0
605
1
281
2
175
3
276
4
477
5
345
6
79
7
917

© Frank Wei 2022 - 2024