Binary Bomb 二进制炸弹

￡神魔★判官ぃ 2022-04-22 20:14 465阅读 0赞

**实验报告**

**实****验（三）**

题 目  Binary Bomb

二进制炸弹

**计算机科学与技术学院**

**目 录**

第1章 实验基本信息... - 3 -

1.1 实验目的... - 3 -

1.2 实验环境与工具... - 3 -

1.2.1 硬件环境... - 3 -

1.2.2 软件环境... - 3 -

1.2.3 开发工具... - 3 -

1.3 实验预习... - 3 -

第2章 实验环境建立... - 4 -

2.1 Ubuntu下CodeBlocks反汇编（10分）... - 4 -

2.2 Ubuntu下EDB运行环境建立（10分）... - 4 -

第3章 各阶段炸弹破解与分析... - 5 -

3.1 阶段1的破解与分析... - 5 -

3.2 阶段2的破解与分析... - 5 -

3.3 阶段3的破解与分析... - 5 -

3.4 阶段4的破解与分析... - 5 -

3.5 阶段5的破解与分析... - 5 -

3.6 阶段6的破解与分析... - 5 -

3.7 阶段7的破解与分析(隐藏阶段) - 6 -

第4章 总结... - 7 -

4.1 请总结本次实验的收获... - 7 -

4.2 请给出对本次实验内容的建议... - 7 -

参考文献... - 8 -

# 第1章 实验基本信息 #

1.  1.   实验目的

1．熟练掌握计算机系统的ISA指令系统与寻址方式

2．熟练掌握Linux下调试器的反汇编调试跟踪分析机器语言的方法

3．增强对程序机器级表示、汇编语言、调试器和逆向工程等的理解

## 1.2 实验环境与工具 ##

### 1.2.1 硬件环境 ###

X64 CPU；2GHz；2G RAM；256GHD Disk 以上

### 1.2.2 软件环境 ###

Windows7 64位以上；VirtualBox/Vmware 11以上；Ubuntu 16.04 LTS 64位/优麒麟 64位；

### 1.2.3 开发工具 ###

GDB/OBJDUMP；EDB；KDD等

## 1.3 实验预习 ##

上实验课前，必须认真预习实验指导书（PPT或PDF）

了解实验的目的、实验环境与软硬件工具、实验操作步骤，复习与实验有关的理论知识。

请写出C语言下包含字符串比较、循环、分支（含switch）、函数调用、递归、指针、结构、链表等的例子程序sample.c。

生成执行程序sample.out。

用gcc –S或CodeBlocks或GDB或OBJDUMP等，反汇编，比较。

列出每一部分的C语言对应的汇编语言。

修改编译选项-O (缺省2)、O0、O1、O2、O3，-m32/m64。再次查看生成的汇编语言与原来的区别。

注意O1之后无栈帧，EBP做别的用途。-fno-omit-frame-pointer加上栈指针。

GDB命令详解 –tui模式 ^XA切换 layout改变等等

有目的地学习: 看VS的功能GDB命令用什么？

# 第2章 实验环境建立 #

## 2.1 Ubuntu下CodeBlocks反汇编（10分） ##

CodeBlocks运行hellolinux.c。反汇编查看printf函数的实现。

要求：C、ASM、内存(显示hello等内容)、堆栈（call printf前）、寄存器同时在一个窗口。

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80MzgyMTg3NA_size_16_color_FFFFFF_t_70][]

图2-1 Ubuntu下CodeBlocks反汇编截图

## 2.2 Ubuntu下EDB运行环境建立（10分） ##

用EDB调试hellolinux.c的执行文件，截图，要求同2.1

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80MzgyMTg3NA_size_16_color_FFFFFF_t_70 1][]

图2-2 Ubuntu下EDB截图

# 第3章 各阶段炸弹破解与分析 #

每阶段15分（密码10分，分析5分），总分不超过80分

## 3.1 阶段1的破解与分析 ##

密码如下：Why make trillions when we could make... billions?

![20190114173526708.png][]

破解过程：strings\_not\_equal函数是判断输入的字符串和%rsi中的字符串是否相等，如果相等则令%eax为0，否则为1。

并且后面的test %eax,%eax和jne 0x55555555518d则是判断若%eax不为0，就执行explode\_bomb。因此需要输入的密码必须与%rsi中的字符串相等。

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80MzgyMTg3NA_size_16_color_FFFFFF_t_70 2][]

gdb通过x/s 0x555555556670查看其中的数据，即得密码。

## 3.2 阶段2的破解与分析 ##

密码如下：其中一组密码为：0 1 3 6 10 15

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80MzgyMTg3NA_size_16_color_FFFFFF_t_70 3][]

破解过程：第一步：phase\_2的代码需要输入6个数字，并且当我进入read\_six\_numbers函数，通过查看%rsi时，发现其为%d %d %d %d %d %d，由此可知，函数读入的数据是6个int类型，这对栈的分析至关重要。

第二步：查看函数phase\_2。通过cmpl $0x0,(%rsp)和后一句js条件跳转语句可以分析第一个数大于等于0。暂且输入第一个数为0。%ebx的值由0x1执行循环，每次加0x1，当%ebx为0x6时退出循环。每次循环，将%ebx赋值给%eax。分析主要的语句可以得出每次循环内，%eax+（4%rbx-4+%rbp）与（4%rbx+%rbp）的值相等，而（4%rbx-4+%rbp）取址后为上一个输入的值，（4%rbx+%rbp）为本次输入的值。由此不难得出函数的循环大致为：

int a\[6\];

a\[0\]=0;

for (i=1;i<6;i++)

\{ a\[i\]=a\[i-1\]+I ; \}

附上此时栈的示意图：![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80MzgyMTg3NA_size_16_color_FFFFFF_t_70 4][]

## 3.3 阶段3的破解与分析 ##

密码如下：其中一组密码为：2 44

![20190114173526819.png][]

破解过程：

![20190114173526830.png][]

通过查看%rsi中的字符，可知输入的是两个int型数据。sscanf返回值为读入有效数据的个数，并且由$0x7,0xc(%rsp)可知，第一个数小于7。

于是先输入2 2，使用gdb观察下面的执行。

观察到jmpq \*%rax语句，表示以%rax中的值作为跳转目标，此时查看%rax中十六进制的值如下：

![20190114173526843.png][]

因此jmp \*rax即表示跳转到0x55555555526d，再单步执行程序。

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80MzgyMTg3NA_size_16_color_FFFFFF_t_70 5][]

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80MzgyMTg3NA_size_16_color_FFFFFF_t_70 6][]

跳转到0x55555555526d后，mov $0x0,%eax 表示将%rax赋值为0x0后再跳转到0x555555555238进行计算。

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80MzgyMTg3NA_size_16_color_FFFFFF_t_70 7][]

由cmpl $0x5 , 0xc(%rsp)和jg 0x555555555263可知第一个值为小于5的无符号数，而第二个数值等于计算后%eax中的值。

计算过程是从地址0x555555555238开始：

0+0x246-0x21a+0x21a-0x21a+0x21a -0x21a =44，因此第一个数输入2时，第二个数为44.

综上，此题其实是一条switch语句，根据输入小于5的第一个数值，可计算出 \*%rax，即跳转的地址，然后计算求出第二个数值，即得通关密码。

## 3.4 阶段4的破解与分析 ##

密码如下：8 35

破解过程：

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80MzgyMTg3NA_size_16_color_FFFFFF_t_70 8][]

![2019011417352771.png][]

第一步，先观察调用func4之前的phase\_4，通过查看%rsi，和调用\_\_isoc99\_sscanf时返回值为2可以知道，我们输入的是两个int型数据，并且由cmpl $0xe,0xc(%rsp) 和 jbe 0x555555555307可以知道输入的第一个数小于14，进入func4之前%edx被赋值为14，%esi被赋值为0，%edi被赋值为我们输入的第一个数。

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80MzgyMTg3NA_size_16_color_FFFFFF_t_70 9][]

第二步，观察func4调用之后的phase\_4，可以知道输入的第二个数是35，并且fun4的返回值%eax也是35。

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80MzgyMTg3NA_size_16_color_FFFFFF_t_70 10][]

第三步，进入func4查看。

通过对上语句的分析，我将func简化为如下形式：

%edx初值为14，%esi初值为0,

x=%rbx, y=%eax, z=%edx, a=%esi, a1=%edi

<fun4>

y=z ;

x=(y+a)/2;

1 .if (x>a1)

z=x-1

call <func4>

y+=x;

2 .if (x<a1)

a =x+1;

call<fun4>

y+=x;

3 .if (x=a1)

y=x;

由以上简化的调用形式可知，递归的最里层是x=a1，由于每次调用<fun4>之前都要pop %rbx，因此递归返回计算时x的值是不断变化的。

返回值%rax，即设置的y，有y= a1 +x1 +x2 +x3…

进行多次计算如下：

%edi = 0 , %rax = 11

%edi = 1 , %rax = 11

%edi = 2, %rax = 13

%edi = 3 , %rax = 10

%edi = 4 , %rax = 19

%edi = 5 , %rax = 15

%edi = 6 , %rax = 21

%edi = 7 , %rax = 7

%edi = 8 , %rax = 35

%edi = 9 , %rax = 27

%edi = 10 , %rax = 37

%edi = 11 , %rax = 18

%edi = 12 , %rax = 43

%edi = 13 , %rax = 31

%edi = 14 , %rax = 45

由返回值%eax为35可以知道输入第一个数为8。综上，输入8 35.

## 3.5 阶段5的破解与分析 ##

密码如下：其中一组为444440

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80MzgyMTg3NA_size_16_color_FFFFFF_t_70 11][]

破解过程：

![20190114173527186.png][]

首先通过string\_length函数，及cmp $0x6,%eax语句，可知密码为长度为6的字符串。

再由movzbl (%rax),%edx及and $0xf,%edx可知，将输入字符0拓展为32为赋值给%edx再取%edx的后四位。

另外，%rax每次加一，cmp %rdi,%rax条件判断语句控制循环。

其中最重要的是add (%rsi,%rdx,4), %ecx,这条语句是指将（%rsi+4%rdx）该地址对应的值赋给%ecx，于是gdb调试出当%rdx分别为0，1，2，3，4，时，（%rsi+4%rdx）地址对应的值：

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80MzgyMTg3NA_size_16_color_FFFFFF_t_70 12][]

由于输出的%ecx的值为62，又根据累加出%ecx的一种计算可以为62=12+12+12+12+12+2，故逆推输入的字符串相对应为444440 。

## 3.6 阶段6的破解与分析 ##

密码如下：1 6 4 5 2 3

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80MzgyMTg3NA_size_16_color_FFFFFF_t_70 13][]

破解过程：第一步：分析前面的的循环可知，read\_six\_numbers的六个参数，全部不大于6，并且互不相等。

第二步：![20190114173527265.png][]

分析后一个循环可知，输入的6个数，分别被7减，并且保存在原处。

第三步：根据7减去输入的六个数字的值，通过循环，%rsp+8n中分别存入不同的地址值。存值的方式是循环时不断对新的%rdx加0x8，其中%rdx初始值为0x555555758210

![20190114173527267.png][]

第四步：

![20190114173527278.png][]

由此可知，链表值由大到小排列。

第五步：

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80MzgyMTg3NA_size_16_color_FFFFFF_t_70 14][]

链表值由大到小排列为：0x39f 0x390 0x30c 0x30b 0x20e 0x123

对应的值为：6 1 3 2 5 4

又因为对应的值是7减去输入数后的值。

故输入的数对应为：1 6 4 5 2 3

## 3.7 阶段7的破解与分析(隐藏阶段) ##

密码如下：1001

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80MzgyMTg3NA_size_16_color_FFFFFF_t_70 15][]

破解过程：根据phase\_defused的分析，可以知道必须解决完前六关才能进入隐藏阶段。

![20190114173527354.png][]

![20190114173527367.png][]

由以上截图可知，隐藏阶段是在输入两个int型数据后，再输入DrEvil，才可进入。

首先分析secret\_phase,由read\_line可知，输入的是一个字符串，并且strtol函数是将一个字符串转化为十进制长整数赋给%rax作为返回值，调用func7之前，%rdi被赋值为36，即第一个参数a1=0x24，a2为要输入的数。再由func7之后，可以知道返回值是0x7.

![20190114173527370.png][]

![20190114173527383.png][]

观察func7内的语句，核心部分是递归。

![20190114173527393.png][]

![20190114173527409.png][]

![20190114173527416.png][]

由以上三张截图可知，

若\*a1>a2 , a1=\*(a1+8) , call func7 , %eax=%eax\*2;

若\*a1<a2 , a1=\*(a1+16) , call fun7 , %eax=%eax\*2+1;

若\*a1=a2 , 跳出。

由此可知，最深层的%eax=0，并且如果\*a1=a2，则推出最里面的递归条件。

因为func7执行完后返回值是7，而逆推出7的产生过程为：

7=（（0\*2+1）\*2+1）\*2+1

则递归时a2=\*（\*（\*（a1+0x10）+0x10）+0x10）

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80MzgyMTg3NA_size_16_color_FFFFFF_t_70 16][]

再用gdb调试，可知a2=0x3e9，即1001。

综上可知，输入的密码是1001.

# 第4章 总结 #

## 4.1 请总结本次实验的收获 ##

1．学会了gdb的调节和各种命令。

2．对C语言下字符串比较、循环、分支（含switch）、函数调用、递归、指针、结构、链表等有了更深刻的理解。

3.更加深刻地理解了汇编语言，程序机器级表示以及逆向工程。

## 4.2 请给出对本次实验内容的建议 ##

希望对gdb调试的讲解更加细致一些。

注：本章为酌情加分项。

# 参考文献 #

**为完成本次实验你翻阅的书籍与网站等**

\[1\] 林来兴. 空间控制技术\[M\]. 北京：中国宇航出版社，1992：25-42.

\[2\] 辛希孟. 信息技术与信息服务国际研讨会论文集：A集\[C\]. 北京：中国科学出版社，1999.

\[3\] 赵耀东. 新时代的工业工程师\[M/OL\]. 台北：天下文化出版社，1998 \[1998-09-26\]. http://www.ie.nthu.edu.tw/info/ie.newie.htm（Big5）.

\[4\] 谌颖. 空间交会控制理论与方法研究\[D\]. 哈尔滨：哈尔滨工业大学，1992：8-13.

\[5\] KANAMORI H. Shaking Without Quaking\[J\]. Science，1998，279（5359）：2063-2064.

\[6\] CHRISTINE M. Plant Physiology: Plant Biology in the Genome Era\[J/OL\]. Science，1998，281：331-332\[1998-09-23\]. http://www.sciencemag.org/cgi/ collection/anatmorp.

[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80MzgyMTg3NA_size_16_color_FFFFFF_t_70]: /images/20220327/04bb771d7e0f4ac4833e2854881fc196.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80MzgyMTg3NA_size_16_color_FFFFFF_t_70 1]: /images/20220327/a673c934a9b24da5a593cdf14a8944bc.png
[20190114173526708.png]: /images/20220327/b2b9c117a3964419b65fdfeca0e70a0f.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80MzgyMTg3NA_size_16_color_FFFFFF_t_70 2]: /images/20220327/a993ef6c9cb3404781aa6f031bc94278.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80MzgyMTg3NA_size_16_color_FFFFFF_t_70 3]: /images/20220327/5eb0fc9adb1e46a18ac3ed1b2938040f.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80MzgyMTg3NA_size_16_color_FFFFFF_t_70 4]: /images/20220327/6e805cdcad914ef49844cb9ace2aea9d.png
[20190114173526819.png]: /images/20220327/0b6445629dfb499d827c473908abee73.png
[20190114173526830.png]: /images/20220327/f0cd76a1ccfc481181bd7d1bc75e70e2.png
[20190114173526843.png]: /images/20220327/5e510d1541c34ff8a1af41985137492e.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80MzgyMTg3NA_size_16_color_FFFFFF_t_70 5]: /images/20220327/b03c9dac55274b5c92b85b7a6bf24e53.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80MzgyMTg3NA_size_16_color_FFFFFF_t_70 6]: /images/20220327/b51a76670d544b3bb13a26fc537f9e69.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80MzgyMTg3NA_size_16_color_FFFFFF_t_70 7]: /images/20220327/5be9dd1722c14022b619a16758387787.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80MzgyMTg3NA_size_16_color_FFFFFF_t_70 8]: /images/20220327/215b2a53665749c8b22f301f53e16ee1.png
[2019011417352771.png]: /images/20220327/618af8913b0949868cef395e78eb76f7.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80MzgyMTg3NA_size_16_color_FFFFFF_t_70 9]: /images/20220327/db8b2559b9464632bf2e294542068191.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80MzgyMTg3NA_size_16_color_FFFFFF_t_70 10]: /images/20220327/b423023a7b6c4c81b770ea858b734330.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80MzgyMTg3NA_size_16_color_FFFFFF_t_70 11]: /images/20220327/7cf8d7ca1a5b4f81b7b2a3b1bb944bd9.png
[20190114173527186.png]: /images/20220327/327bd871509d4b14a83069d5c106a0dc.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80MzgyMTg3NA_size_16_color_FFFFFF_t_70 12]: /images/20220327/e0a7057025744f0ca5a0812cf81eba57.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80MzgyMTg3NA_size_16_color_FFFFFF_t_70 13]: /images/20220327/981de99ff853441bbb1489d218936884.png
[20190114173527265.png]: /images/20220327/2ae8dfafcebf47eebfae865afeecb349.png
[20190114173527267.png]: /images/20220327/6d20ccbcfe41464393b83961a66275ec.png
[20190114173527278.png]: /images/20220327/7ce9336bf69b4fdf9c938bf532fc67c8.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80MzgyMTg3NA_size_16_color_FFFFFF_t_70 14]: /images/20220327/22d0783db8534b74a73599d1d6015677.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80MzgyMTg3NA_size_16_color_FFFFFF_t_70 15]: /images/20220327/b828882ba356429faec1aeb3a1afc877.png
[20190114173527354.png]: /images/20220327/4ce88547dacc44b7908189d39dd803e7.png
[20190114173527367.png]: /images/20220327/4f5087945654496c809803ad41cc742b.png
[20190114173527370.png]: /images/20220327/dbf1e74d530042e1b480cf1ef2f08ede.png
[20190114173527383.png]: /images/20220327/9928f5a6d6844baabcebf0cc5fd3e363.png
[20190114173527393.png]: /images/20220327/9dad01a82d464c899f5f683a1f3fd389.png
[20190114173527409.png]: /images/20220327/f841ac4e5768446f8c18689332ce4d89.png
[20190114173527416.png]: /images/20220327/83150a7b2a2644ce93ab0e517545f235.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80MzgyMTg3NA_size_16_color_FFFFFF_t_70 16]: /images/20220327/524d993784d44db9b8cbea3c495f31ba.png