phase3的汇编中,查看esi处内存可知,sscanf的格式字符串是%d %d
,密码可能是两个整数。其中,rcx和rdx用于存放sscanf将要读入的数字的地址。
在gdb调试phase3时输入5 3
如图,x/d $rsp+0x8
处存放5
,rsp+0xc
存放3
.
来看这一段代码
首先将rsp+0x8处的数,也即5
和7比较,若大于7,炸弹爆炸。
然后将该值赋值到eax寄存器,然后的jmpq
指令以0x402470
为基址,加上rax的值乘8为地址。这里输入的5
导致跳转到0x400f98
处,然后将0xce
赋值到eax
。
接着,跳转到0x400fbe
,将eax
和我们输入的第二个参数比较,若不等,炸弹爆炸。
总结一下,输入两个数,第一个数不能大于7。程序会根据第一个数赋值eax寄存器,然后和输入的第二个数相比,相等则解除炸弹。
于是,在gdb中可通过设置第一个数为0-6
,然后通过gdb单步调试,查看eax的值,得到密码,比如0 207
,5 206
,1 311
。这些都是正确的,随便取一个就行。