二进制炸弹实验binarybomb 拆弹

青旅半醒 2022-06-06 05:20 323阅读 0赞

## 写在前面 ##

这个实验是系统级编程的课程实验，非常有意思，给定一个可执行文件bomb.exe，这个程序打开之后需要用户输入一些东西，只有输入指定的字符串或者数字才能到达下一个步骤，一共有7个步骤，如果输入错误，屏幕会显示boom!!并退出程序，意味着你引爆了这个炸弹。你需要反汇编这个可执行文件来找到拆弹的线索。老师给我们提供了两种方法：使用GDB+objdump来反汇编；使用IDA 来反汇编

**做本实验采用的工具是IDA Pro6.6**

实验的材料在这里：  
[（百度云）二进制炸弹实验所需资源下载（GDB+objdump）][GDB_objdump] 提取码qss1  
[（百度云）IDAPro6.6][IDAPro6.6] 提取码：jzwu  
（2020年更：之前是放在了CSDN资源零积分供大家下载的，无奈每次积分都会变成非零值，大家私信我的话我又不一定有时间回，于是我把它们放在了百度云盘，欢迎大家学习交流取用。如果你发现这个链接失效了或者什么问题，欢迎大家私信我（P.S.由于年代久远，我已经不记得实验细节，有关实验内容我可能帮不到大家，抱歉啦））

# Phase 1： #

打开IDA，反汇编bomb.exe。可以看到如图

![这里写图片描述][format_png]  
![这里写图片描述][format_png 1]  
看到汇编代码，这里有一句string 内容是”Public speaking is very easy.”,然后将它放在ESP+4的位置，再将输入数据放在ESP的位置，调用\_strings\_not\_equal方法，所以我们可以确定要输入的字符串是**Public speaking is very easy.** Phase 1解决。  
![这里写图片描述][format_png 2]

# Phase 2 #

打开IDA，选择phase2 的函数，按**F4**，可以看到反汇编得到的C语言代码，这代码是根据汇编函数反汇编得到的，跟原来的代码有很大差别，不过还是可以从中窥探出一些踪迹。  
![这里写图片描述][format_png 3]  
其中，核心代码是这段，也就是红色框框起来的代码：  
![这里写图片描述][format_png 4]  
很明显v5是一个计数器变量，用来遍历6个数，从蓝色框的结构我们可以猜测这是一个数组，int型的，因此if语句换个说法就是(i+1)\*a\[i-1\]!=a\[i\]，所以拆除炸弹所需要的6个数字应该满足(i+1)\*a\[i-1\]!=a\[i\] ，也就是  
2a\[0\]=a\[1\]  
3a\[1\]=a\[2\]  
4a\[2\]=a\[3\]  
5a\[3\]=a\[4\]  
6a\[4\]=a\[5\]  
如果第一个数是1，那么这6个数是：**1 2 6 24 120 720**  
Phase 2 解决。  
![这里写图片描述][format_png 5]

# Phase 3 #

打开IDA，选中phase 3的函数，按f4，我们可以得到phase 3的代码  
![这里写图片描述][format_png 6]  
可以看到这是一堆switch case代码  
看到这句语句  
![这里写图片描述][format_png 7]  
可以得知我们应该输入两个整数，一个字符  
选中右边的代码块可以对应到左边的汇编指令，我发现第一个整数对应的内存是\[ebp-0x18\]  
字符对应的内存是\[ebp-0x11\]，第二个整数对应的是\[ebp-0x10\].  
![这里写图片描述][format_png 8]  
对第一个整数进行判断  
![这里写图片描述][format_png 9]  
每个相应的case中都会给v9赋值，我们看汇编指令可以发现v9其实是\[ebp-0x9\]，看到代码后边可以发现，是要将\[ebp-0x11\]也就是字符的值赋给eax54这个变量，然后再取低4位与\[ebp-0x11\]比较。  
![这里写图片描述][format_png 10]  
![这里写图片描述][format_png 11]  
发现除了 2 3 7 之外其他的数都是十六进制的，并且7没有break，会出现问题，在这里我选2，那v9的值就是98，通过查ASCII码表可以知道98是小写字母b，那第一第二个参数就出来了，然后第三个参数，v29，如果不等于0xfb就会引爆炸弹，那0xfb是十进制的755，所以我们第三个参数就是755。所以我们应该输入**2 b 755** 。Phase 3解决。  
![这里写图片描述][format_png 12]

# Phase 4 #

打开IDA，选择phase 4，按f4反汇编成C语言代码，可以看到如图  
![这里写图片描述][format_png 13]  
通过查看程序可以知道，phase 4的主体代码很简单，就是让用户输入一个整数，调用一个func4()，如果返回值不是55就引爆炸弹。  
所以我们看一下func4()。  
![这里写图片描述][format_png 14]  
![这里写图片描述][format_png 15]  
所以我们一层层推，可知只有当参数是9的时候递归的结果是55，所以我们应该输入**9**，phase 4 解决。  
![这里写图片描述][format_png 16]

# Phase 5 #

打开IDA 选择phase 5 按住f4反汇编成c语言 可以看到如下图  
![这里写图片描述][format_png 17]  
通过程序我们可以看到，我们需要输入6个数  
![这里写图片描述][format_png 18]  
![这里写图片描述][format_png 19]  
看到这句关键代码，eax6是一个Int型，而且下面的句子也出现了eax6，这时候光看这份不完整的代码就不够了，看一下汇编代码  
![这里写图片描述][format_png 20]  
可以看到，代码的意思是将数组\_array\_2464的第\[eax\]个字节存放到eax里面，再拼接起来，我们可以看到这个数组是一个字符串数组，在看到后面还有一个数组，将拼接的结果和aGiants数组压栈之后调用了\_strings\_not\_equal函数，所以我们可以断定拆这个炸弹的方法就是从\_array\_2464这个数组中提取“giants”，那位置是15 0 5 11 13 1 。化成十六进制就是0xf 0x0 0x5 0xb 0xd 0x1.  
![这里写图片描述][format_png 21]  
但是要注意到它的偏移量不是直接通过输入数字获得的。它是通过每个输入的数取低4位，再与0xf进行与运算，结果是什么呢，当然就是输入的数的最后一个字节。  
![这里写图片描述][format_png 22]  
我知道内存中存放数值是变成16进制的，00 00 00 00，它取的是第一个00的后一个0的位置，所以我们输入了之后，我们希望内存是这个样子：  
0f 00 00 00  
00 00 00 00  
05 00 00 00  
0b 00 00 00  
0d 00 00 00  
01 00 00 00  
当然0的位置随便是什么都可以，所以我选3f 30 35 3b 3d 31,查找ASCII码表可以知道它们分别是`?05;=1` ,Phase 5 解决  
![这里写图片描述][format_png 23]

# Phase 6 #

打开IDA 选择phase 6 按住f4反汇编成c语言 可以看到如下图  
![这里写图片描述][format_png 24]  
根据炸弹会爆炸的情况分成3段：  
![这里写图片描述][format_png 25]  
第一段的意思是每个数字不能大于6，第二段的意思是这6个组成一个数组的话a\[i\]不能等于a\[i+1\],第三段的意思暂时不需要管，后面会说  
![这里写图片描述][format_png 26]  
我们看到struct s1应该是一个链表，f8指向下一个节点，s0应该是一个节点  
从汇编代码和c代码中看不出什么，所以在phase 6的开头设一个断点，调试一下看看。  
我们输入1 2 3 4 5 6,很显然这个输入是满足前面两个条件的，所以我们直接看最后一个条件，这里我们看到我输入的6个数，生成了6个节点  
![这里写图片描述][format_png 27]  
看到内存相应的位置  
红色框的是我的链表，蓝色框的是每一个节点，我们可以清楚的看到节点的结构，第一行是一个数值，跟第二行有关，第二行是每个输入的数字，第三行是下一个节点的地址  
![这里写图片描述][format_png 28]  
继续执行到cmp语句，查看当前比较的两个参数，eax和edx  
![这里写图片描述][format_png 29]  
刚好是第一第二个节点的内存中第一行的值  
如果要满足条件的话，前一个值要大于等于后一个值，由内存中的值可以得到，每个数字对应生成的该值为  
6->01b0  
5->00d4  
4->03e5  
3->012d  
2->02d5  
1->00fd  
所以正确的排序应该是**4 2 6 3 1 5**  
这里说一下为什么要用1到6来试，因为之前有说过这六个数不能大于6，而且如果他们小于0的话，在汇编代码中有一个eax-1的操作，0x00000000-1会变成0xFFFFFFFE,这也是不对的。  
Phase 6解决  
![这里写图片描述][format_png 30]

至此，炸弹拆除。

# Secret phase： #

但是我们可以发现在代码的字符串集中有这么一句话：  
![这里写图片描述][format_png 31]

所以这个炸弹有一个secret phase  
怎么进入这个secret phase呢  
我在phase 6 的方法的最后设置了一个断点，发现当拆除phase 6之后会进入一个\_phase\_defused的函数  
![这里写图片描述][format_png 32]

可以发现进入secret phase的条件有两个：一个是输入的字符串数目达到6，也就是拆除所有phase之后，另一个是从一个内存中读入一个整数和一个字符串，这个字符串要跟austinpower一样。  
我们设置断点，进行调试，发现当它调用\_sscanf函数的时候，它的参数是一个存放在地址00408190的内容  
![这里写图片描述][format_png 33]

我点进去看这个地址，发现这个地址存放的是phase4的输入值，那里本来只有一个9  
![这里写图片描述][format_png 34]  
但是要进入secret phase呢就要再输入一个austinpower的字符串。

那我在拆炸弹的时候，在拆phase4的时候多输入一个austinpower，然后就成功进入了secret phase  
我们看到secret phase的代码  
![这里写图片描述][format_png 35]  
这里有一个func7的函数，我们再来看一下func7  
![这里写图片描述][format_png 36]  
它定义了一个结构体，初步看应该是一个树的结构，再结合下面代码它访问的两个不同成员，可以确定是一棵二叉树。  
那二叉树的值在哪呢？  
![这里写图片描述][format_png 37]  
我们可以看这个ebp-r，r的值是8，所以看到相应的位置  
![这里写图片描述][format_png 38]  
里面的值也是一个地址，双击到这个地址去看  
![这里写图片描述][format_png 39]

这正好就是二叉树的内容。我根据内容把这棵树画出来是这样子：  
![这里写图片描述][format_png 40]  
好了，再来看一下func7的代码  
![这里写图片描述][format_png 41]  
调用func7会传递两个参数：二叉树的根节点和一个整数  
如果这个数小于当前节点，就往一个子节点遍历，并且eax3=eax4*2+1 如果大于当前节点，就往另一个子节点遍历，并且eax3=eax5*2 如果相等则返回0。  
而secret phase的拆弹条件是这个函数的返回值要等于7，所以我们逆推一下，只有满足7=3+3+1，3=1+1+1,1=0+0+1的时候才能说得通，所以我们可以确定这个二叉树的遍历顺序是一直往这个数小于当前节点的方向遍历，也就是往右边子节点遍历，要使二叉树往右边遍历，那这个整数就只能是1001.  
到此，二进制炸弹完美解决。  
![这里写图片描述][format_png 42]

[GDB_objdump]: https://pan.baidu.com/s/1q0SOX97tbTyBlFS242VugQ
[IDAPro6.6]: https://pan.baidu.com/s/1DYFJd3z2GO1ulNayiXqUnw
[format_png]: /images/20220606/ccd52f7eb8d14280b925b4adab12496f.png
[format_png 1]: /images/20220606/6ff5f28578d34a9fb2e89bcb7f6b0a91.png
[format_png 2]: /images/20220606/38f4dca9702b45bfb6ae49a060e1fa75.png
[format_png 3]: /images/20220606/29af0756ae4445c4bc83f34e112c114f.png
[format_png 4]: /images/20220606/ada87538ce5940a081c476b595dc2251.png
[format_png 5]: /images/20220606/fcf9b320876c4278a218ffdefac572dd.png
[format_png 6]: /images/20220606/c9467e672e7b40fa8bc9958a8883718a.png
[format_png 7]: /images/20220606/45d3b83378614c6eb519f9d771d06b04.png
[format_png 8]: /images/20220606/c3d5fb5a68f94978bcd35be08b6b927f.png
[format_png 9]: /images/20220606/de6fa2edcc1545e1a53f2da5cf5af61f.png
[format_png 10]: /images/20220606/a72111e3a1044c0d8ce06ec5bc421094.png
[format_png 11]: /images/20220606/034be2d65e974f7a820bb41fd2802c91.png
[format_png 12]: /images/20220606/527c1a11b3494aaa90c484c635228587.png
[format_png 13]: /images/20220606/e4bf694d2d9d47d59d0bf14e63220b05.png
[format_png 14]: /images/20220606/60085e28848b4e689c7f6be1236528c2.png
[format_png 15]: /images/20220606/8bca08d0388d434aa4b6a9c99bad743f.png
[format_png 16]: /images/20220606/fc3fee00a05947d483f06cac5453ab6d.png
[format_png 17]: /images/20220606/40767e6f4d32481fac28123cba5da004.png
[format_png 18]: /images/20220606/a6f6852c212d4c458e23183f291c0a37.png
[format_png 19]: /images/20220606/2aed91d37d164276804503cff323664f.png
[format_png 20]: /images/20220606/28817ac5dc6441e8901ae4c6263a41ec.png
[format_png 21]: /images/20220606/cc4601ba179746d19fbc09935923d487.png
[format_png 22]: /images/20220606/4afa4d9039634a528f3dfeaa6190b35a.png
[format_png 23]: /images/20220606/67cd6fdc86c74de0a5b8628858176b00.png
[format_png 24]: /images/20220606/1335ce933b024e00b2fefefdba262b93.png
[format_png 25]: /images/20220606/6376ca34f7534c3592183e89a88cb2e3.png
[format_png 26]: /images/20220606/ab2fca3bf6394304abc86deb48cee91a.png
[format_png 27]: /images/20220606/7a0c01ef003f433a82bbb3d93cdc748b.png
[format_png 28]: /images/20220606/223c656bb632485d99e1dc922bf0f623.png
[format_png 29]: /images/20220606/4173b90f3453451b9fdc648623b73af2.png
[format_png 30]: /images/20220606/2dd2be7f7934434c83a98c2e172a1fe0.png
[format_png 31]: /images/20220606/e40ce42cbe3541b9a678f70b5d0c4a08.png
[format_png 32]: /images/20220606/a9150323aa2049f19dad745f9b378d9d.png
[format_png 33]: /images/20220606/9d3accb06b0642bf80ea540a7a3962de.png
[format_png 34]: /images/20220606/28c8fa4d718a423783283b672574ccf4.png
[format_png 35]: /images/20220606/a65ba6d1d6b248deab9f9a59590316ef.png
[format_png 36]: /images/20220606/747d19a49caf4b458804fde17707d0a6.png
[format_png 37]: /images/20220606/a6f5ee04e740407bab78eeebabaff6c9.png
[format_png 38]: /images/20220606/75550141a4234649b6c5b3442e9cbc16.png
[format_png 39]: /images/20220606/214dce40fe7c492ba6754ea046b49b30.png
[format_png 40]: /images/20220606/6649b75413a8488498e80a01b93a4f18.png
[format_png 41]: /images/20220606/9d9169dc3e1643e0a3881e1883874918.png
[format_png 42]: /images/20220606/23a26422675d4990806540c6c45ea86c.png