CSAPP lab2 二进制拆弹 binary bombs phase_4

时间:2021-02-09 20:59:38

给出对应于7个阶段的7篇博客

phase_1  https://www.cnblogs.com/wkfvawl/p/10632044.html
phase_2  https://www.cnblogs.com/wkfvawl/p/10636214.html
phase_3  https://www.cnblogs.com/wkfvawl/p/10651205.html
phase_4  https://www.cnblogs.com/wkfvawl/p/10672680.html
phase_5  https://www.cnblogs.com/wkfvawl/p/10703941.html
phase_6  https://www.cnblogs.com/wkfvawl/p/10742405.html
secret_phase  https://www.cnblogs.com/wkfvawl/p/10745307.html

 

phase_4

phase_4要求输入2个整数,phase_4函数从中获取信息,并判断其正确性,如果不正确,则炸弹爆炸。

phase_4主要考察学生对递归的机器级表示的掌握程度。

观察框架源文件bomb.c:

 CSAPP lab2 二进制拆弹 binary bombs phase_4

 

从上可以看出:

1、首先调用了read_line()函数,用于输入炸弹秘钥,输入放置在char* input中。

2、调用phase_4函数,输入参数即为input,可以初步判断,phase_3函数将输入的input字符串作为参数。

因此下一步的主要任务是从asm.txt中查找在哪个地方调用了readline函数以及phase_4函数。

1.1 寻找并分析调用phase_4函数的代码

打开asm.txt,寻找phase_4函数。

CSAPP lab2 二进制拆弹 binary bombs phase_4

 

phase_1类似分析:

1、当前栈的位置存放的是read_line函数读入的一串输入;

2、phase_4的函数入口地址为0x8048d8e

此时的函数栈为:

 CSAPP lab2 二进制拆弹 binary bombs phase_4

1.2 phase_4函数分析

寻找8048d8e,或者继续寻找phase_4,可以寻找到phase_4函数,如下图所示:

 CSAPP lab2 二进制拆弹 binary bombs phase_4

1510-518行:准备phase_4函数栈帧,并为调用sscanf函数准备参数。经过这些语句后,函数栈帧如下图所示。

 CSAPP lab2 二进制拆弹 binary bombs phase_4

注意:0x804a689位置的内容为“%d %d”,可以判断是输入两个整数。其分析过程参见前面阶段分析,这里不再赘述。

2519行:调用sscanf函数,读取两个整数,得到的两个数据d1d2,放置在如上图中的栈中,函数返回结果在eax寄存器中。(根据前面的分析,应该知道返回结果代表读取的数据的数量)

3520-521行:如果读取的数量不等于2,则跳转到8048dc1<phase_4 + 0x33>,引爆炸弹;

4522-524行:d1140xe)比较,大于,则引爆炸弹。显然,这里的判断是要求d1 <= 14。小于则跳转到8048dc6<phanse_4 + 0x38>,继续执行。

6525行(8048e5d- 530行,是在为调用8048d31<func4>这个函数做准备。531行执行后,函数栈帧变为:

 CSAPP lab2 二进制拆弹 binary bombs phase_4

 

可以看出,为func4函数准备了3个参数,调用顺序为(d1,014)。

7531行:调用func4(d1, 0, 14),返回结果在eax中。

8532行:将func4的返回结果与0xf10进制15)相比较,如果不等,则跳转到8048e85<phase_4+0x60>,引爆炸弹。也即func4的返回结果应该为15,否则引爆。

9534-535行:将d2150xf)相比较,如果不等,则引爆炸弹。如果相等,则过关

10、从上面分析来看,输入的两个数中,d1 <= 14,而d2=15d1目前看来暂时不能确定,如果要确定d1的值,需分析func4函数(其逻辑空间地址为8048d31)。

1.3 func4函数分析

asm.txt中寻找func4,在8048d31处,为func4函数定义:

 CSAPP lab2 二进制拆弹 binary bombs phase_4

1、根据前面分析,func4的定义应为:int func4int x, int y, int z),后面的分析均以此为基础进行分析。

2、473-474行:准备函数栈帧。执行后,函数栈帧如下图所示:

 CSAPP lab2 二进制拆弹 binary bombs phase_4

 

3、476-478行:x --> edxy --> eaxz --> esi

4、479-481行:ecx = ebx = z - y

5482行:ebx逻辑右移0x1f位(shr:逻辑右移指令),即逻辑右移31位,即将z-y的最高位(符号位)移到了最低位。逻辑右移的结果送到ebx,此时ebx z - y的符号位。即如果z >= y,则ebx = 0,否则ebx = 1;(前面给的参数z = 14y = 0ebx = 0

6、483-484行:ecx = ebx + ecx = z - y + signz-y) ;然后ecx算术右移一位,即ecx = z-y + sign(z-y)/2 = 7。(sar:算术右移指令,只有一个参数,意味着只右移1位,这里sign(z-y)代表取z-y的符号,当z>=y时,sign(z-y) = 0 否则sign(z-y) = 1

7485行:lea是一个地址传送指令,但这里借用该指令,执行的是将ecx + eax -->ebx,也即ebx = y + [(z-y) + sign(z-y)]/2。(这里应该是求zy的中间的值,分为负数和正数的处理方法不一样,为方便后面描述,这里设置mid = y + [(z-y) + sign(z-y)]/2

8、486-487行:将ebxedx相比较,也即midx相比较,如果mid <= xjle为小于等于),则跳转到8048d6d<func4 + 0x3c>

9、495-497行:8048d6d<func4 + 0x3c>:实际上是判断mid是否大于等于x,如果是,则跳出函数,func4返回。(根据上面,是小于等于跳转过来的,这里大于等于,应该是mid==x的时候,返回,返回处理在8048d88(第504行处),此时eax = mid,即返回的是mid的值。)如果不是,则继续执行498行,也即此时mid < x

10、498-502行:将esi的内容(z),送入到esp+8的位置,ebx + 1 -->esp + 4(ebxmid), x-->esp,然后调用func4,显然这里是递归调用func4,此时调用func4x, mid + 1, z)。如果该函数返回,将ebxmid)与eaxfunc4的返回结果)相加(第504行),进行返回。

11、根据前面8~10分析:如果mid 等于x,则返回mid,如果mid < x,则调用func4xmid+1, z)。

12、第488-492行:上面第8步,如果第487步没有跳转,则继续执行488行,此时mid > x。此时的过程:

1)将ebx -1 -->ecx,即ecx=mid-1ecx->esp+8esp+8mid-1),eax->esp+4eaxy),edx->espedxx)。

2)调用func4func4xymid-1)。

3)显然,以上代码含义是当mid > x时,调用func4(x, y, mid-1)

4)如果func4返回,ebxmid)与eaxfunc4的返回结果)相加(第493行),进行返回。

 

1.4 func4结果分析

根据以上分析,func4显然是一个递归调用函数,其大致c语言代码为:

int func4(int x, int y, int z)
{
    int mid = 0;
    if(z >= y)
    {
        mid = y + (z - y)/2;
    }
    else
    {
        mid = y + (z-y + 1)/2;
    }
    if(x == mid)
    {
        return mid;
    }
    else(if x < mid)
    {
        return mid + func4(x, y, mid -1);
    }
    else(if x > mid)
    {
        return mid + func(x, mid + 1, z);
    }
}

 

显然,上面代码为一个二叉排序/搜索树,phase_4调用时的参数是func4(d1, 0, 14),最后的返回结果是15。当参数为0,14时,二进制搜索树为:

 CSAPP lab2 二进制拆弹 binary bombs phase_4

 

根据前面分析,当给定d1时,func4返回结果是搜索路径上的所有值之和。例如:

假设d1 = 7func4返回7。如果d1=1func4返回7+3+1 = 11

当要求func4返回15时,d1应该等于5,即7 + 3 + 5 = 15

因此,phase_4的答案应该是:"5 15"