一道逆向CTF題-read asm詳解
阿新 • • 發佈:2019-01-04
題目給出一段c程式:
int main(int argc, char const *argv[])
{
char input[] = {0x0, 0x67, 0x6e, 0x62, 0x63, 0x7e, 0x74, 0x62, 0x69, 0x6d,
0x55, 0x6a, 0x7f, 0x60, 0x51, 0x66, 0x63, 0x4e, 0x66, 0x7b,
0x71, 0x4a, 0x74, 0x76, 0x6b, 0x70, 0x79, 0x66 , 0x1c};
func(input, 28);
printf("%s\n",input+1);
return 0;
}
接著給出函式func的asm程式碼:
00000000004004e6 :
4004e6: 55 push rbp
4004e7: 48 89 e5 mov rbp,rsp
4004ea: 48 89 7d e8 mov QWORD PTR [rbp-0x18],rdi
4004ee: 89 75 e4 mov DWORD PTR [rbp-0x1c],esi
4004f1: c7 45 fc 01 00 00 00 mov DWORD PTR [rbp-0x4],0x1
4004f8: eb 28 jmp 400522
4004fa: 8b 45 fc mov eax,DWORD PTR [rbp-0x4]
4004fd: 48 63 d0 movsxd rdx,eax
400500: 48 8b 45 e8 mov rax,QWORD PTR [rbp-0x18 ]
400504: 48 01 d0 add rax,rdx
400507: 8b 55 fc mov edx,DWORD PTR [rbp-0x4]
40050a: 48 63 ca movsxd rcx,edx
40050d: 48 8b 55 e8 mov rdx,QWORD PTR [rbp-0x18]
400511: 48 01 ca add rdx,rcx
400514: 0f b6 0a movzx ecx,BYTE PTR [rdx]
400517: 8b 55 fc mov edx,DWORD PTR [rbp-0x4]
40051a: 31 ca xor edx,ecx
40051c: 88 10 mov BYTE PTR [rax],dl
40051 e: 83 45 fc 01 add DWORD PTR [rbp-0x4],0x1
400522: 8b 45 fc mov eax,DWORD PTR [rbp-0x4]
400525: 3b 45 e4 cmp eax,DWORD PTR [rbp-0x1c]
400528: 7e d0 jle 4004fa
40052a: 90 nop
40052b: 5d pop rbp
40052c: c3 ret
題目思路很清晰,主程式主要是呼叫了func函式對input陣列進行操作。所以最主要的是讀懂func的這段彙編程式碼,下面對每段程式碼詳細解讀:
這裡是呼叫函式必備的操作,將呼叫函式的棧幀棧底指標壓入,即將rbp暫存器的值壓入呼叫棧中;建立新的棧幀,將被調函式的棧幀棧底地址(rsp)放入rbp暫存器中。
4004e6: 55 push rbp
4004e7: 48 89 e5 mov rbp,rsp
這裡先解釋下QWORD和DWORD,QWORD是四字,DWORD是雙字,一個字是2個位元組(16位),所以QWORD儲存64位資料,DWORD儲存32位資料。還有r開頭的暫存器用來存64位資料,e開頭的暫存器用來存32位資料。
4004ea: 48 89 7d e8 mov QWORD PTR [rbp-0x18],rdi //rdi存引數1(在記憶體 [rbp-0x18]處)
4004ee: 89 75 e4 mov DWORD PTR [rbp-0x1c],esi //esi存引數2(在記憶體 [rbp-0x1c]處)
4004f1: c7 45 fc 01 00 00 00 mov DWORD PTR [rbp-0x4],0x1 //向記憶體 [rbp-0x4] 寫入1
4004f8: eb 28 jmp 400522 //跳轉到400522處
這裡說一下cmp與jle指令(一般二者同時出現),例如cmp A,B
,若A小於B,則執行jle的指令,即進行跳轉,否則不進行跳轉。
400522: 8b 45 fc mov eax,DWORD PTR [rbp-0x4] //eax=1(讀取記憶體[rbp-0x4]處的值)
400525: 3b 45 e4 cmp eax,DWORD PTR [rbp-0x1c] //比較eax與記憶體[rbp-0x1c]的值(即引數2:28)
400528: 7e d0 jle 4004fa //如果eax小於28,則跳轉到4004fa處
40052a: 90 nop //空指令
40052b: 5d pop rbp //函式呼叫結束,彈出棧底指標
40052c: c3 ret
說一下movsxd指令,為帶符號擴充套件並傳送。BYTE儲存8位資料。
4004fa: 8b 45 fc mov eax,DWORD PTR [rbp-0x4] //eax=1
4004fd: 48 63 d0 movsxd rdx,eax //rdx=1
400500: 48 8b 45 e8 mov rax,QWORD PTR [rbp-0x18] //rax=input[0](引數1)
400504: 48 01 d0 add rax,rdx //rax+=rdx即rax=input[1]
400507: 8b 55 fc mov edx,DWORD PTR [rbp-0x4] //edx=1
40050a: 48 63 ca movsxd rcx,edx //rcx=1
40050d: 48 8b 55 e8 mov rdx,QWORD PTR [rbp-0x18] //rdx=input[0]
400511: 48 01 ca add rdx,rcx //rdx=input[0]+1=input[1]
400514: 0f b6 0a movzx ecx,BYTE PTR [rdx] //ecx=rdx=0x67
400517: 8b 55 fc mov edx,DWORD PTR [rbp-0x4] //edx=1
40051a: 31 ca xor edx,ecx //edx^=ecx即edx=0x1^0x67=0x66="f"
40051c: 88 10 mov BYTE PTR [rax],dl //rax=dl
40051e: 83 45 fc 01 add DWORD PTR [rbp-0x4],0x1 //記憶體[rbp-0x4]處值為1
400522: 8b 45 fc mov eax,DWORD PTR [rbp-0x4] //這裡接上段
400525: 3b 45 e4 cmp eax,DWORD PTR [rbp-0x1c]
400528: 7e d0 jle 4004fa
以下是最終的func源程式:
void func(char input[],int num)
{
int i = 1;
while(i <= num)
{
*(input[0]+i) ^= i;
i++;
}
}
跑一下出結果:
flag{read_asm_is_the_basic}