c - 了解有关 C 'bomb' 的 x86 语法

Question

我得到了一个最初用 C 语言编写的可执行文件，它玩猜谜游戏。作为玩家，我应该猜 5 个数字，如果我猜对了，炸弹就不会爆炸。但是，一旦我错过一个，我就输了，炸弹爆炸了。到目前为止，我解决这个问题的方法是反汇编可执行文件并尝试从那里读取解决方案。我知道在某个时刻，strcmp 函数被调用，这意味着我的猜测与键值将存储在这之前的某处到寄存器中。我迷失的是在哪里可以找到它，以及如何访问存储该数字的正确字符串。

这是我得到的汇编代码:

0804856a <main>:
804856a:    55                      push   %ebp
804856b:    89 e5                   mov    %esp,%ebp
804856d:    83 e4 f0                and    $0xfffffff0,%esp
8048570:    57                      push   %edi
8048571:    56                      push   %esi
8048572:    53                      push   %ebx 
8048573:    81 ec 14 02 00 00       sub    $0x214,%esp //prologue code ends
8048579:    8b 35 fc 98 04 08       mov    0x80498fc,%esi
804857f:    83 7d 08 02             cmpl   $0x2,0x8(%ebp)
8048583:    75 18                   jne    804859d <main+0x33>
8048585:    c7 44 24 04 fb 86 04    movl   $0x80486fb,0x4(%esp)
804858c:    08 
804858d:    8b 45 0c                mov    0xc(%ebp),%eax
8048590:    8b 40 04                mov    0x4(%eax),%eax
8048593:    89 04 24                mov    %eax,(%esp)
8048596:    e8 65 fe ff ff          call   8048400 <fopen@plt>
804859b:    89 c6                   mov    %eax,%esi
804859d:    bb 01 00 00 00          mov    $0x1,%ebx
80485a2:    bf e4 98 04 08          mov    $0x80498e4,%edi
80485a7:    3b 35 fc 98 04 08       cmp    0x80498fc,%esi
80485ad:    75 10                   jne    80485bf <main+0x55>
80485af:    89 5c 24 04             mov    %ebx,0x4(%esp)
80485b3:    c7 04 24 fd 86 04 08    movl   $0x80486fd,(%esp)
80485ba:    e8 51 fe ff ff          call   8048410 <printf@plt>
80485bf:    89 74 24 08             mov    %esi,0x8(%esp)
80485c3:    c7 44 24 04 00 02 00    movl   $0x200,0x4(%esp)
80485ca:    00 
80485cb:    8d 44 24 10             lea    0x10(%esp),%eax
80485cf:    89 04 24                mov    %eax,(%esp)
80485d2:    e8 09 fe ff ff          call   80483e0 <fgets@plt>
80485d7:    85 c0                   test   %eax,%eax
80485d9:    74 22                   je     80485fd <main+0x93>
80485db:    8b 14 9f                mov    (%edi,%ebx,4),%edx
80485de:    89 54 24 04             mov    %edx,0x4(%esp)
80485e2:    89 04 24                mov    %eax,(%esp)
80485e5:    e8 56 fe ff ff          call   8048440 <strcmp@plt> //call to strcmp, so the two parameters (my guess vs. key) must be stored before it. 
80485ea:    85 c0                   test   %eax,%eax
80485ec:    74 05                break<main+0x89>
80485ee:    e8 4d ff ff ff          call   8048540 <bomb>
80485f3:    83 c3 01                add    $0x1,%ebx
80485f6:    83 fb 05                cmp    $0x5,%ebx
80485f9:    7e ac                   jle    80485a7 <main+0x3d>
80485fb:    eb 05                   jmp    8048602 <main+0x98>
80485fd:    83 fb 05                cmp    $0x5,%ebx
8048600:    7e a5                   jle    80485a7 <main+0x3d>
8048602:    e8 19 ff ff ff          call   8048520 <success>
8048607:    b8 00 00 00 00          mov    $0x0,%eax
804860c:    81 c4 14 02 00 00       add    $0x214,%esp //epilogue code begins
8048612:    5b                      pop    %ebx
8048613:    5e                      pop    %esi
8048614:    5f                      pop    %edi
8048615:    89 ec                   mov    %ebp,%esp
8048617:    5d                      pop    %ebp
8048618:    c3                      ret    

到目前为止，在这个项目中，我一直在使用 GNU 调试器来尝试和破解程序。但是，我似乎无法理解。这是我第一次接触 x86 asm。我的理论是必须将字符串保存到 %edi/%edx/%eax 的第 80485db/de/e2 行，但我不明白这些字符串将如何存储在那里，而不是如何获取它们。我非常感谢更有经验的编码人员的任何帮助，因为这让我困惑了好几天。

Answer 1

您已经正确识别了 80485db 附近的临界区。让我们从 strcmp 调用开始倒退。比较需要两个操作数，它们在前两行从寄存器%eax和%edx入栈。我们可以看到%eax是fgets的返回值，也就是输入的文本。 %edx 由 mov (%edi,%ebx,4),%edx 加载，不幸的是它依赖于另外两个寄存器。 %edi 比较简单，它由mov $0x80498e4,%edi 设置为一个常量地址。 %ebx 在 804859d 处初始化为 1，然后在 80485f3 处递增并与 5 进行比较> 稍后。因此我们可以看到它是循环计数器，显示我们正在处理的输入。将这些放在一起意味着 %edx 是从包含预期字符串的数组中加载的。第一个字符串将位于 0x80498e4+4，因为 ebx 从 1 开始。因此，gdb 中的 x/5s *0x80498e8 应该会向您显示拆除炸弹所需的输入.