本文接 深入理解计算机系统（CSAPP）课程实验bomb程序炸弹实验日志（phase_3）继续写，phase_4部分在昨天已经完成了，日志在今天才开始写。个人认为这个部分是整个bomb程序炸弹最难破解的部分，在破解的过程中发现这是一个递归函数，体现在汇编语言中就显得特征不是那么明显，所以采用了一种将汇编转化成与之等价的C语言语句，这样有助于更好的看清程序的运作过程。下面是我的探索过程。
在Notepad++中查找到函数phase_4，代码如下：
08048e2e <phase_4>:
8048e2e: 55 push %ebp
8048e2f: 89 e5 mov %esp,%ebp
8048e31: 83 ec 28 sub $0x28,%esp
8048e34: 8d 45 f0 lea -0x10(%ebp),%eax
8048e37: 89 44 24 0c mov %eax,0xc(%esp)
8048e3b: 8d 45 f4 lea -0xc(%ebp),%eax
8048e3e: 89 44 24 08 mov %eax,0x8(%esp)
8048e42: c7 44 24 04 3e a2 04 movl $0x804a23e,0x4(%esp)
8048e49: 08
8048e4a: 8b 45 08 mov 0x8(%ebp),%eax
8048e4d: 89 04 24 mov %eax,(%esp)
8048e50: e8 eb f9 ff ff call 8048840 <__isoc99_sscanf@plt>
8048e55: 83 f8 02 cmp $0x2,%eax
8048e58: 75 0c jne 8048e66 <phase_4+0x38>
8048e5a: 8b 45 f4 mov -0xc(%ebp),%eax
8048e5d: 85 c0 test %eax,%eax
8048e5f: 78 05 js 8048e66 <phase_4+0x38>
8048e61: 83 f8 0e cmp $0xe,%eax
8048e64: 7e 05 jle 8048e6b <phase_4+0x3d>
8048e66: e8 66 02 00 00 call 80490d1 <explode_bomb>
8048e6b: c7 44 24 08 0e 00 00 movl $0xe,0x8(%esp)
8048e72: 00
8048e73: c7 44 24 04 00 00 00 movl $0x0,0x4(%esp)
8048e7a: 00
8048e7b: 8b 45 f4 mov -0xc(%ebp),%eax
8048e7e: 89 04 24 mov %eax,(%esp)
8048e81: e8 da fc ff ff call 8048b60 <func4>
8048e86: 83 f8 01 cmp $0x1,%eax
8048e89: 75 06 jne 8048e91 <phase_4+0x63>
8048e8b: 83 7d f0 01 cmpl $0x1,-0x10(%ebp)
8048e8f: 74 0c je 8048e9d <phase_4+0x6f>
8048e91: 8d b4 26 00 00 00 00 lea 0x0(%esi,%eiz,1),%esi
8048e98: e8 34 02 00 00 call 80490d1 <explode_bomb>
8048e9d: c9 leave
8048e9e: 66 90 xchg %ax,%ax
8048ea0: c3 ret
同样，从函数开始的部分到0x8048e4d位置都是在做新空间的开辟和参数的传递工作。依然设-0xc(%ebp)位置的参数为val1，-0x10(%ebp)位置的参数为val2，接着0x8048e50位置就是数据读入，0x8048e55位置eax中的数据应该是读入数据的个数，若eax中的值不等于2，跳转到0x8048e66位置，引爆炸弹。所以这一关的要求是输入两个数字，且两个参数之间必定会满足某种关系。
接下来是0x8048e5a位置的一条mov指令，将参数1放入寄存器eax中。0x8048e5d开始的test和js指令，将eax和eax自身进行与操作，当符号位位1时发生跳转，引爆炸弹。这说明eax中存的数必须满足符号位不为1，也就是必须是一个正数，这样我们获得了参数1的第一个范围限制。
继续往下读，0x8048e5a位置开始又是一个比较加跳转指令，将参数1的值和十六进制的e，也就是十进制的14进行比较，若eax<=14，则跳转到0x8048e6b位置，否则下一步就是引爆炸弹。所以，参数1必须小于等于14，这样得到了参数1的第二个范围限制。
然后将执行0x8048e6b位置和0x8048e73位置的两个movl指令，0x8048e7b开始再将eax中的值设为phase_4的返回值。
再往下看，0x8048e81位置调用了func4函数，这又是另外一个函数，也是phase_4这个部分最关键的地方，先跳过它继续往下获取信息。
0x8048e86位置开始是一个比较加跳转指令，在将func4函数执行后的返回值和1做比较，若不等则引爆炸弹。说明此函数的返回值必须为1。
0x8048e8b位置同样是一个比较加跳转，将参数2的值和1进行比较，若相等则函数执行结束，否则引爆炸弹。说明参数2的值必须为1。
接下来分析最关键的函数func4部分，它是一个递归结构，通过逐条将汇编指令转化成对应的C语言代码，将函数的功能清楚地显示出来。
在Notepad++中搜索函数func4，代码如下：
08048b60 <func4>:
8048b60: 55 push %ebp
8048b61: 89 e5 mov %esp,%ebp
8048b63: 83 ec 18 sub $0x18,%esp
8048b66: 89 5d f8 mov %ebx,-0x8(%ebp)
8048b69: 89 75 fc mov %esi,-0x4(%ebp)
8048b6c: 8b 55 08 mov 0x8(%ebp),%edx
8048b6f: 8b 45 0c mov 0xc(%ebp),%eax
8048b72: 8b 5d 10 mov 0x10(%ebp),%ebx
8048b75: 89 d9 mov %ebx,%ecx
8048b77: 29 c1 sub %eax,%ecx
8048b79: 89 ce mov %ecx,%esi
8048b7b: c1 ee 1f shr $0x1f,%esi
8048b7e: 8d 0c 0e lea (%esi,%ecx,1),%ecx
8048b81: d1 f9 sar %ecx
8048b83: 01 c1 add %eax,%ecx
8048b85: 39 d1 cmp %edx,%ecx
8048b87: 7e 17 jle 8048ba0 <func4+0x40>
8048b89: 83 e9 01 sub $0x1,%ecx
8048b8c: 89 4c 24 08 mov %ecx,0x8(%esp)
8048b90: 89 44 24 04 mov %eax,0x4(%esp)
8048b94: 89 14 24 mov %edx,(%esp)
8048b97: e8 c4 ff ff ff call 8048b60 <func4>
8048b9c: 01 c0 add %eax,%eax
8048b9e: eb 20 jmp 8048bc0 <func4+0x60>
8048ba0: b8 00 00 00 00 mov $0x0,%eax
8048ba5: 39 d1 cmp %edx,%ecx
8048ba7: 7d 17 jge 8048bc0 <func4+0x60>
8048ba9: 89 5c 24 08 mov %ebx,0x8(%esp)
8048bad: 83 c1 01 add $0x1,%ecx
8048bb0: 89 4c 24 04 mov %ecx,0x4(%esp)
8048bb4: 89 14 24 mov %edx,(%esp)
8048bb7: e8 a4 ff ff ff call 8048b60 <func4>
8048bbc: 8d 44 00 01 lea 0x1(%eax,%eax,1),%eax
8048bc0: 8b 5d f8 mov -0x8(%ebp),%ebx
8048bc3: 8b 75 fc mov -0x4(%ebp),%esi
8048bc6: 89 ec mov %ebp,%esp
8048bc8: 5d pop %ebp
8048bc9: c3 ret
以下是在栈中模拟func4函数操作并将汇编指令转化为C语言代码的过程示意：
将转化的C语言代码整合成完整的func4在编译器中运行，注释为对应的汇编代码：
#include <stdio.h>
//val1:%edx,y:%eax,z:%ebx,k:%ecx,t:%esi;
int func4(int val1,int y,int z)
{
int k,t; //
k = z; //8048b75: 89 d9 mov %ebx,%ecx
k = k-y; //8048b77: 29 c1 sub %eax,%ecx
t = k; //8048b79: 89 ce mov %ecx,%esi
t = t>>31; //8048b7b: c1 ee 1f shr $0x1f,%esi
k = k+t; //8048b7e: 8d 0c 0e lea (%esi,%ecx,1),%ecx
k = k/2; //8048b81: d1 f9 sar %ecx
k = k+y; //8048b83: 01 c1 add %eax,%ecx
if(k<=val1) //8048b85: 39 d1 cmp %edx,%ecx
//8048b87: 7e 17 jle 8048ba0 <func4+0x40>
{
y = 0; //8048ba0: b8 00 00 00 00 mov $0x0,%eax
if(k>=val1) //8048ba5: 39 d1 cmp %edx,%ecx
//8048ba7: 7d 17 jge 8048bc0 <func4+0x60>
{
return y; //8048bc0: 8b 5d f8 mov -0x8(%ebp),%ebx
//8048bc3: 8b 75 fc mov -0x4(%ebp),%esi
//8048bc6: 89 ec mov %ebp,%esp
//8048bc8: 5d pop %ebp
//8048bc9: c3 ret
}
else
{
k = k+1; //8048bad: 83 c1 01 add $0x1,%ecx
y = func4(val1,k,z); //8048ba9: 89 5c 24 08 mov %ebx,0x8(%esp)
//8048bb0: 89 4c 24 04 mov %ecx,0x4(%esp)
//8048bb4: 89 14 24 mov %edx,(%esp)
y = y+y+1; //8048bbc: 8d 44 00 01 lea 0x1(%eax,%eax,1),%eax
return y; //8048bc0: 8b 5d f8 mov -0x8(%ebp),%ebx
//8048bc3: 8b 75 fc mov -0x4(%ebp),%esi
//8048bc6: 89 ec mov %ebp,%esp
//8048bc8: 5d pop %ebp
//8048bc9: c3 ret
}
}
else
{
k = k-1; //8048b89: 83 e9 01 sub $0x1,%ecx
y = func4(val1,y,k); //8048b8c: 89 4c 24 08 mov %ecx,0x8(%esp)
//8048b90: 89 44 24 04 mov %eax,0x4(%esp)
//8048b94: 89 14 24 mov %edx,(%esp)
y = y+y; //8048b9c: 01 c0 add %eax,%eax
return y; //8048b9e: eb 20 jmp 8048bc0 <func4+0x60>
}
}
int main()
{
int val1,val2;
for(val1=0;val1<=14;val1++)
{
val2 = func4(val1,0,14);
if(val2 == 1)
{
printf("%d\n",val1);
}
}
return 0;
}
运行后的结果如下：
说明满足条件的答案有3个，分别是：
8，1
9，1
11，1
输入任意一个进行验证：
