1. 程式人生 > >一道逆向CTF題-read asm詳解

一道逆向CTF題-read asm詳解

題目給出一段c程式:

int main(int argc, char const *argv[])
{
char input[] = {0x0, 0x67, 0x6e, 0x62, 0x63, 0x7e, 0x74, 0x62, 0x69, 0x6d,
0x55, 0x6a, 0x7f, 0x60, 0x51, 0x66, 0x63, 0x4e, 0x66, 0x7b,
0x71, 0x4a, 0x74, 0x76, 0x6b, 0x70, 0x79, 0x66 , 0x1c};
func(input, 28);
printf("%s\n",input+1);
return 0;
}

接著給出函式func的asm程式碼:

00000000004004e6 : 
4004e6: 55
push rbp 4004e7: 48 89 e5 mov rbp,rsp 4004ea: 48 89 7d e8 mov QWORD PTR [rbp-0x18],rdi 4004ee: 89 75 e4 mov DWORD PTR [rbp-0x1c],esi 4004f1: c7 45 fc 01 00 00 00 mov DWORD PTR [rbp-0x4],0x1 4004f8: eb 28 jmp 400522 4004fa: 8b 45 fc mov eax,DWORD PTR [rbp-0x4] 4004fd: 48 63 d0 movsxd rdx,eax 400500: 48 8b 45 e8 mov rax,QWORD PTR [rbp-0x18
] 400504: 48 01 d0 add rax,rdx 400507: 8b 55 fc mov edx,DWORD PTR [rbp-0x4] 40050a: 48 63 ca movsxd rcx,edx 40050d: 48 8b 55 e8 mov rdx,QWORD PTR [rbp-0x18] 400511: 48 01 ca add rdx,rcx 400514: 0f b6 0a movzx ecx,BYTE PTR [rdx] 400517: 8b 55 fc mov edx,DWORD PTR [rbp-0x4] 40051a: 31 ca xor edx,ecx 40051c: 88 10 mov BYTE PTR [rax],dl 40051
e: 83 45 fc 01 add DWORD PTR [rbp-0x4],0x1 400522: 8b 45 fc mov eax,DWORD PTR [rbp-0x4] 400525: 3b 45 e4 cmp eax,DWORD PTR [rbp-0x1c] 400528: 7e d0 jle 4004fa 40052a: 90 nop 40052b: 5d pop rbp 40052c: c3 ret

題目思路很清晰,主程式主要是呼叫了func函式對input陣列進行操作。所以最主要的是讀懂func的這段彙編程式碼,下面對每段程式碼詳細解讀:

這裡是呼叫函式必備的操作,將呼叫函式的棧幀棧底指標壓入,即將rbp暫存器的值壓入呼叫棧中;建立新的棧幀,將被調函式的棧幀棧底地址(rsp)放入rbp暫存器中。

4004e6: 55 push rbp 
4004e7: 48 89 e5 mov rbp,rsp 

這裡先解釋下QWORD和DWORD,QWORD是四字,DWORD是雙字,一個字是2個位元組(16位),所以QWORD儲存64位資料,DWORD儲存32位資料。還有r開頭的暫存器用來存64位資料,e開頭的暫存器用來存32位資料。

4004ea: 48 89 7d e8 mov QWORD PTR [rbp-0x18],rdi //rdi存引數1(在記憶體 [rbp-0x18]處)
4004ee: 89 75 e4 mov DWORD PTR [rbp-0x1c],esi //esi存引數2(在記憶體 [rbp-0x1c]處)
4004f1: c7 45 fc 01 00 00 00 mov DWORD PTR [rbp-0x4],0x1 //向記憶體 [rbp-0x4] 寫入1
4004f8: eb 28 jmp 400522 //跳轉到400522處

這裡說一下cmp與jle指令(一般二者同時出現),例如cmp A,B,若A小於B,則執行jle的指令,即進行跳轉,否則不進行跳轉。

400522: 8b 45 fc mov eax,DWORD PTR [rbp-0x4] //eax=1(讀取記憶體[rbp-0x4]處的值)
400525: 3b 45 e4 cmp eax,DWORD PTR [rbp-0x1c] //比較eax與記憶體[rbp-0x1c]的值(即引數2:28)
400528: 7e d0 jle 4004fa //如果eax小於28,則跳轉到4004fa處
40052a: 90 nop //空指令
40052b: 5d pop rbp //函式呼叫結束,彈出棧底指標
40052c: c3 ret

說一下movsxd指令,為帶符號擴充套件並傳送。BYTE儲存8位資料。

4004fa: 8b 45 fc mov eax,DWORD PTR [rbp-0x4] //eax=1
4004fd: 48 63 d0 movsxd rdx,eax //rdx=1
400500: 48 8b 45 e8 mov rax,QWORD PTR [rbp-0x18] //rax=input[0](引數1)
400504: 48 01 d0 add rax,rdx //rax+=rdx即rax=input[1]
400507: 8b 55 fc mov edx,DWORD PTR [rbp-0x4] //edx=1
40050a: 48 63 ca movsxd rcx,edx //rcx=1
40050d: 48 8b 55 e8 mov rdx,QWORD PTR [rbp-0x18] //rdx=input[0]
400511: 48 01 ca add rdx,rcx //rdx=input[0]+1=input[1]
400514: 0f b6 0a movzx ecx,BYTE PTR [rdx] //ecx=rdx=0x67
400517: 8b 55 fc mov edx,DWORD PTR [rbp-0x4] //edx=1
40051a: 31 ca xor edx,ecx //edx^=ecx即edx=0x1^0x67=0x66="f"
40051c: 88 10 mov BYTE PTR [rax],dl //rax=dl
40051e: 83 45 fc 01 add DWORD PTR [rbp-0x4],0x1 //記憶體[rbp-0x4]處值為1
400522: 8b 45 fc mov eax,DWORD PTR [rbp-0x4] //這裡接上段
400525: 3b 45 e4 cmp eax,DWORD PTR [rbp-0x1c] 
400528: 7e d0 jle 4004fa 

以下是最終的func源程式:

void func(char input[],int num)
{
    int i = 1;
    while(i <= num)
    {
        *(input[0]+i) ^= i; 
        i++;
    }
}

跑一下出結果:
flag{read_asm_is_the_basic}