CS:APP二进制炸弹phase3

写在前面

到目前为止，已经比较轻松的完成了前两个阶段。本文来试试第三个阶段吧。let's go ！！！

分析

还是一样，先找到调用phase_3处的汇编：

继续反汇编函数phase_3如下：

函数phase_3一走来就调用了sscanf函数来读取我们的输入。有了分析phase_2的经验，很容易从寄存器%esi中获得格式化字符串，x/s显示的结果是"%d %d"，即从我们的输入中获得两个int型整数。我们不妨将第一个整数命令为num1，第二个为num2。

紧接着判断sscanf的返回值，如果小于等于1，则触发炸弹。否则继续。

cmpl   $0x7,0x8(%rsp)，判断num1是否大于7，如果大于，则调整到地址0x0000000000400fad处，触发炸弹。否则继续。

接下来的两条指令是难点，如果搞懂了这两条指令就差不多了。第一条指令，mov    0x8(%rsp),%eax，将num1的值存储寄存器%eax中，第二条指令jmpq   *0x402470(,%rax,8)，这条指令什么意思呢？ 可能AT&T的汇编指令不太容易看懂，那我们通过set disassembly-flavor intel来查看intel形式的这条指令为jmp    QWORD PTR [rax*8+0x402470]，这下就容易多了 -- 取出地址rax*8+0x402470处的值，并调转到这个值指示的内存地址处继续执行。如果读者有一点点的经验，就可以很容易看出此处是switch语句的跳转表，跳转表的首地址为0x402470，我们可以通过x命令看看这个表中都存储了哪些地址。

因为上面判断num1小于8，因此可知跳转表中应该存储有8个地址。x表明以十六进制的形式显示地址，g表示每8个字节的内存，因为这是x64平台，所以地址占8个字节。

仔细观察这些地址，可以发现都是函数phase_3范围内的地址。

当num1等于0时，跳转到0x0000000000400f7c处执行。如果num2不等于0xcf，则触发炸弹。

当num1等于1时，跳转到0x0000000000400fb9处执行。如果num2不等于0x137，则触发炸弹。

当num1等于2时，跳转到0x0000000000400f83处执行。如果num2不等于0x2c3，则触发炸弹。

当num1等于3时，跳转到0x0000000000400f8a处执行。如果num2不等于0x100，则触发炸弹。

当num1等于4时，跳转到0x0000000000400f91处执行。如果num2不等于0x185，则触发炸弹。

当num1等于5时，跳转到0x0000000000400f98处执行。如果num2不等于0xce，则触发炸弹。

当num1等于6时，跳转到0x0000000000400f9f处执行。如果num2不等于0x2aa，则触发炸弹。

当num1邓毅7时，跳转到0x0000000000400fa6处执行。如果num2不等于0x147，则触发炸弹。

因此可以得出这个阶段的答案有8种，任选其一。分别为（0，207）、（1，311）、（2，707）、（3，256）、（4，389）、（5，206）、（6，682）、（7，327）。

C源码应该如下所示：

void phase_3(const char *input)
{
	//  0x8(%rsp)  0xc(%rsp)
	int num1, num2;
	//     %rdi     %rsi   %rdx   %rcx 
	int result = sscnaf(input, "%d %d", &num1, &num2);
	if (result <= 1) {
		explode_bomb();	
	}

	switch (num1) {
		case 0:	// 0 207
			if (num2 != 0xcf) {
				explode_bomb();
			}
			break;
		case 1:	// 1 311
			if (num2 != 0x137) {
				explode_bomb();
			}
			break;
		case 2:	// 2 707
			if (num2 != 0x2c3) {
				explode_bomb();	
			}
			break;
		case 3:	// 3 256
			if (num2 != 0x100) {
				explode_bomb();	
			}
			break;
		case 4:	// 4 389
			if (num2 != 0x185) {
				explode_bomb();
			}
			break;
		case 5:	// 5 206
			if (num2 != 0xce) {
				explode_bomb();	
			}
			break;
		case 6:	// 6 682
			if (num2 != 0x2aa) {
				explode_bomb();	
			}
			break;
		case 7:	// 7 327
			if (num2 != 0x147) {
				explode_bomb();	
			}
			break;
		default:
			explode_bomb();
			break;
	}
}

总结：

本阶段主要考察switch语句的跳转表，如果能迅速察觉到，没什么难度！继续下一个阶段吧！