bomblab下載頁：http://download.csdn.net/download/u013648407/7279933  其中bomb是可執行檔案  需要用objdump指令反彙編，c1.txt是我反彙編所得到的assembly code。

*****************************************************************************************************************************************************************************************

the second lab，bomb lab。

在我看來這個lab難度比較大。需要花不少時間和精力才能完成。對於這個lab，不同的人有不同的看法，有的人覺得通過閱讀assembly code 來提高純粹的閱讀程式碼能力更重要，有的人覺得合理運用gdb獲得更大效率更重要，仁者見仁吧。但不得不說這個lab是很有趣的一個lab，拆除炸彈那一瞬間的快感是無法用言語形容的。想要嘗試的朋友可以自行下載，良心0積分。

廢話不說，開始：

*****************************************************************************************************************************************************************************************

Q1：

080490b9 <phase_1>:
 80490b9: 55                            push   %ebp
 80490ba: 89 e5                        mov    %esp,%ebp
 80490bc: 83 ec 18                     sub    $0x18,%esp
 80490bf: c7 44 24 04 ec 9d 04 movl   $0x8049dec,0x4(%esp)<-將記憶體0x8049dec中的內容壓棧
 80490c6: 08 
 80490c7: 8b 45 08                     mov    0x8(%ebp),%eax
 80490ca: 89 04 24                     mov    %eax,(%esp)<-將輸入的內容壓棧
 80490cd: e8 3d 00 00 00       call   804910f <strings_not_equal> <-呼叫這個函式，看名字知道是判斷字串相等與否的
 80490d2: 85 c0                        test   %eax,%eax<-判斷返回值，返回值是1則跳到bomb，說明要求上面兩個壓棧的字串必須相等
 80490d4: 74 05                        je     80490db <phase_1+0x22>
 80490d6: e8 44 07 00 00       call   804981f <explode_bomb>
 80490db: c9                                   leave  
 80490dc: 8d 74 26 00                  lea    0x0(%esi,%eiz,1),%esi
 80490e0: c3                                   ret    
 80490e1: 90                                   nop
 

分析如上，解決方法就是用gbd檢視0x8049dec中的字串，再將該字串作為密碼輸入即可。指令為x/s 0x8049dec

*****************************************************************************************************************************************************************************************

Q2:

080490b9 <phase_1>:
 80490b9: 55                            push   %ebp
 80490ba: 89 e5                        mov    %esp,%ebp
 80490bc: 83 ec 18                     sub    $0x18,%esp
 80490bf: c7 44 24 04 ec 9d 04 movl   $0x8049dec,0x4(%esp)<-將記憶體0x8049dec中的內容壓棧
 80490c6: 08 
 80490c7: 8b 45 08                     mov    0x8(%ebp),%eax
 80490ca: 89 04 24                     mov    %eax,(%esp)<-將輸入的內容壓棧
 80490cd: e8 3d 00 00 00       call   804910f <strings_not_equal> <-呼叫這個函式，看名字知道是判斷字串相等與否的
 80490d2: 85 c0                        test   %eax,%eax<-判斷返回值，返回值是1則跳到bomb，說明要求上面兩個壓棧的字串必須相等
 80490d4: 74 05                        je     80490db <phase_1+0x22>
 80490d6: e8 44 07 00 00       call   804981f <explode_bomb>
 80490db: c9                                   leave  
 80490dc: 8d 74 26 00                  lea    0x0(%esi,%eiz,1),%esi
 80490e0: c3                                   ret    
 80490e1: 90                                   nop

通過對主要部分的分析，看出這個密碼是一個數列，首項為1，a[n]=n*a[n-1].

答案即是1 2 6 24 120 720

*****************************************************************************************************************************************************************************************

08048eb1 <phase_3>:
 8048eb1: 55                   push   %ebp
 8048eb2: 89 e5                mov    %esp,%ebp
 8048eb4: 53                   push   %ebx
 8048eb5: 83 ec 34             sub    $0x34,%esp
 8048eb8: 8d 45 f0             lea    -0x10(%ebp),%eax<-第三個輸入儲存在-0x10(%ebp)
 8048ebb: 89 44 24 10          mov    %eax,0x10(%esp)
 8048ebf: 8d 45 ef             lea    -0x11(%ebp),%eax<-第二個輸入儲存在-0x11(%ebp)
 8048ec2: 89 44 24 0c          mov    %eax,0xc(%esp)
 8048ec6: 8d 45 f4             lea    -0xc(%ebp),%eax<-第一個輸入儲存在-0xc(%ebp)
 8048ec9: 89 44 24 08          mov    %eax,0x8(%esp)
 8048ecd: c7 44 24 04 2e 9e 04 movl   $0x8049e2e,0x4(%esp)<-此處使用gdb設定斷點除錯得到0x8049e2e中儲存的是一個“%d,%c,%d”，即輸入的格式
 8048ed4: 08 
 8048ed5: 8b 45 08             mov    0x8(%ebp),%eax
 8048ed8: 89 04 24             mov    %eax,(%esp)
 8048edb: e8 48 fb ff ff       call   8048a28 <sscanf@plt>
 8048ee0: 83 f8 02             cmp    $0x2,%eax<-輸入資料個數必須大於2，否則爆炸
 8048ee3: 7f 05                jg     8048eea <phase_3+0x39>
 8048ee5: e8 35 09 00 00       call   804981f <explode_bomb>
 8048eea: 83 7d f4 07          cmpl   $0x7,-0xc(%ebp)
 8048eee: 66 90                xchg   %ax,%ax
 8048ef0: 0f 87 34 01 00 00    ja     804902a <phase_3+0x179><-以上三行比較輸入的第一個數字與7，若第一個輸入大於7則爆炸（804802a直接相當於跳轉到爆炸函式）
 8048ef6: 8b 5d f4             mov    -0xc(%ebp),%ebx<-switch開始，第二個輸入放置到%ebx
 8048ef9: 8d b4 26 00 00 00 00 lea    0x0(%esi,%eiz,1),%esi
 8048f00: ff 24 9d 40 9e 04 08 jmp    *0x8049e40(,%ebx,4)<-jump table
*輸入第一個數字為0
8048f07: 81 7d f0 b0 00 00 00 cmpl   $0xb0,-0x10(%ebp)<-比較輸入第三個輸入與0xb0。即第三個輸入為0xb0，轉化為10進製為176
 8048f0e: 66 90                xchg   %ax,%ax
 8048f10: 0f 84 2c 01 00 00    je     8049042 <phase_3+0x191>
 8048f16: 66 90                xchg   %ax,%ax
 8048f18: e8 02 09 00 00       call   804981f <explode_bomb>
 8048f1d: bb 79 00 00 00       mov    $0x79,%ebx<-第二個輸入為0x79，轉化為字元為y
 8048f22: 8d b6 00 00 00 00    lea    0x0(%esi),%esi
 8048f28: e9 1a 01 00 00       jmp    8049047 <phase_3+0x196>
*輸入第一個數字為1
 8048f2d: bb 70 00 00 00       mov    $0x70,%ebx<-第二個輸入為0x70，轉化為字元為p
 8048f32: 81 7d f0 78 02 00 00 cmpl   $0x278,-0x10(%ebp)<-第三個輸入為0x278
 8048f39: 8d b4 26 00 00 00 00 lea    0x0(%esi,%eiz,1),%esi
 8048f40: 0f 84 01 01 00 00    je     8049047 <phase_3+0x196>
 8048f46: 66 90                xchg   %ax,%ax
 8048f48: e8 d2 08 00 00       call   804981f <explode_bomb>
 8048f4d: 8d 76 00             lea    0x0(%esi),%esi
 8048f50: e9 f2 00 00 00       jmp    8049047 <phase_3+0x196>
*輸入第一個數字為2
 8048f55: bb 68 00 00 00       mov    $0x68,%ebx<-第二個輸入為0x68,轉化為字元為h
 8048f5a: 81 7d f0 cf 02 00 00 cmpl   $0x2cf,-0x10(%ebp)<-第三個輸入為0x2cf
 8048f61: 8d b4 26 00 00 00 00 lea    0x0(%esi,%eiz,1),%esi
 8048f68: 0f 84 d9 00 00 00    je     8049047 <phase_3+0x196>
 8048f6e: 66 90                xchg   %ax,%ax
 8048f70: e8 aa 08 00 00       call   804981f <explode_bomb>
 8048f75: 8d 76 00             lea    0x0(%esi),%esi
 8048f78: e9 ca 00 00 00       jmp    8049047 <phase_3+0x196>
*輸入第一個數字為3
 8048f7d: 81 7d f0 a5 01 00 00 cmpl   $0x1a5,-0x10(%ebp)<-第三個輸入為0x1a5
 8048f84: 8d 74 26 00          lea    0x0(%esi,%eiz,1),%esi
 8048f88: 0f 84 b4 00 00 00    je     8049042 <phase_3+0x191>
 8048f8e: 66 90                xchg   %ax,%ax
 8048f90: e8 8a 08 00 00       call   804981f <explode_bomb>
 8048f95: bb 79 00 00 00       mov    $0x79,%ebx<-第二個輸入為0x79，轉化為字元為y
 8048f9a: 8d b6 00 00 00 00    lea    0x0(%esi),%esi
 8048fa0: e9 a2 00 00 00       jmp    8049047 <phase_3+0x196>
*輸入第一個數字為4
 8048fa5: bb 67 00 00 00       mov    $0x67,%ebx<-第二個輸入為0x67，轉化為字元為g
 8048faa: 81 7d f0 f8 01 00 00 cmpl   $0x1f8,-0x10(%ebp)<-第三個輸入為0x1f8
 8048fb1: 8d b4 26 00 00 00 00 lea    0x0(%esi,%eiz,1),%esi
 8048fb8: 0f 84 89 00 00 00    je     8049047 <phase_3+0x196>
 8048fbe: 66 90                xchg   %ax,%ax
 8048fc0: e8 5a 08 00 00       call   804981f <explode_bomb>
 8048fc5: 8d 76 00             lea    0x0(%esi),%esi
 8048fc8: eb 7d                jmp    8049047 <phase_3+0x196>
*輸入第一個數字為5
 8048fca: bb 61 00 00 00       mov    $0x61,%ebx<-第二個輸入為0x61，轉化為字元為a
 8048fcf: 81 7d f0 07 01 00 00 cmpl   $0x107,-0x10(%ebp)<-第三個輸入為0x107
 8048fd6: 66 90                xchg   %ax,%ax
 8048fd8: 74 6d                je     8049047 <phase_3+0x196>
 8048fda: 8d b6 00 00 00 00    lea    0x0(%esi),%esi
 8048fe0: e8 3a 08 00 00       call   804981f <explode_bomb>
 8048fe5: 8d 76 00             lea    0x0(%esi),%esi
 8048fe8: eb 5d                jmp    8049047 <phase_3+0x196>
*輸入第一個數字為6
 8048fea: bb 64 00 00 00       mov    $0x64,%ebx<-第二個輸入為0x64，轉化為字元為d
 8048fef: 81 7d f0 b3 02 00 00 cmpl   $0x2b3,-0x10(%ebp)<-第三個輸入為0x2b3
 8048ff6: 66 90                xchg   %ax,%ax
 8048ff8: 74 4d                je     8049047 <phase_3+0x196>
 8048ffa: 8d b6 00 00 00 00    lea    0x0(%esi),%esi
 8049000: e8 1a 08 00 00       call   804981f <explode_bomb>
 8049005: 8d 76 00             lea    0x0(%esi),%esi
 8049008: eb 3d                jmp    8049047 <phase_3+0x196>
*輸入第一個數字為7
 804900a: bb 6d 00 00 00       mov    $0x6d,%ebx<-第二個輸入為0x6d，轉化為字元為m
 804900f: 81 7d f0 e0 03 00 00 cmpl   $0x3e0,-0x10(%ebp)<-第三個輸入為0x3e0
 8049016: 66 90                xchg   %ax,%ax
 8049018: 74 2d                je     8049047 <phase_3+0x196>
 804901a: 8d b6 00 00 00 00    lea    0x0(%esi),%esi
 8049020: e8 fa 07 00 00       call   804981f <explode_bomb>
 8049025: 8d 76 00             lea    0x0(%esi),%esi
 8049028: eb 1d                jmp    8049047 <phase_3+0x196>
 804902a: 8d b6 00 00 00 00    lea    0x0(%esi),%esi
 8049030: e8 ea 07 00 00       call   804981f <explode_bomb>
 8049035: bb 65 00 00 00       mov    $0x65,%ebx
 804903a: 8d b6 00 00 00 00    lea    0x0(%esi),%esi
 8049040: eb 05                jmp    8049047 <phase_3+0x196>
 8049042: bb 79 00 00 00       mov    $0x79,%ebx
 8049047: 3a 5d ef             cmp    -0x11(%ebp),%bl
 804904a: 8d b6 00 00 00 00    lea    0x0(%esi),%esi
 8049050: 74 0b                je     804905d <phase_3+0x1ac>
 8049052: 8d b6 00 00 00 00    lea    0x0(%esi),%esi
 8049058: e8 c2 07 00 00       call   804981f <explode_bomb>
 804905d: 83 c4 34             add    $0x34,%esp
 8049060: 5b                   pop    %ebx
 8049061: 5d                   pop    %ebp
 8049062: c3                   ret    

該phase是一個switch結構，輸入任意一組都可以

如我的答案就是選擇的第一個輸入為7的一組，答案就是7 m 992（注意最後一個輸入要換為10進位制）

*****************************************************************************************************************************************************************************************

Q4：

08048e5b <phase_4>:
 8048e5b: 55                   push   %ebp
 8048e5c: 89 e5                mov    %esp,%ebp
 8048e5e: 53                   push   %ebx
 8048e5f: 83 ec 24             sub    $0x24,%esp
 8048e62: 8d 45 f4             lea    -0xc(%ebp),%eax
 8048e65: 89 44 24 08          mov    %eax,0x8(%esp)
 8048e69: c7 44 24 04 34 9e 04 movl   $0x8049e34,0x4(%esp)<-輸入格式為%d，說明輸入一個十進位制數
 8048e70: 08 
 8048e71: 8b 45 08             mov    0x8(%ebp),%eax
 8048e74: 89 04 24             mov    %eax,(%esp)
 8048e77: e8 ac fb ff ff       call   8048a28 <sscanf@plt>
 8048e7c: 83 f8 01             cmp    $0x1,%eax<-比較輸入數與1，若是不等於則爆炸，說明輸入只有一個
 8048e7f: 75 06                jne    8048e87 <phase_4+0x2c>
 8048e81: 83 7d f4 00          cmpl   $0x0,-0xc(%ebp)
 8048e85: 7f 06                jg     8048e8d <phase_4+0x32>
 8048e87: 90                   nop
 8048e88: e8 92 09 00 00       call   804981f <explode_bomb>
 8048e8d: 8b 5d f4             mov    -0xc(%ebp),%ebx<-將輸入數放入ebx
 8048e90: 89 1c 24             mov    %ebx,(%esp)<-將輸入數壓棧，作為func4函式的引數傳入，func4函式具體在下面解釋
 8048e93: e8 d8 fd ff ff       call   8048c70 <func4>
 8048e98: 3d b0 13 00 00       cmp    $0x13b0,%eax<-將函式返回值與0x13b0比較，即輸入要使經過func4運算後得到0x13b0
 8048e9d: 74 05                je     8048ea4 <phase_4+0x49>
 8048e9f: e8 7b 09 00 00       call   804981f <explode_bomb>
 8048ea4: 83 c4 24             add    $0x24,%esp
 8048ea7: 5b                   pop    %ebx
 8048ea8: 5d                   pop    %ebp
 8048ea9: 8d b4 26 00 00 00 00 lea    0x0(%esi,%eiz,1),%esi
 8048eb0: c3                   ret    
-----------------------------------------------------------------------
08048c70 <func4>:
 8048c70: 55                   push   %ebp
 8048c71: 89 e5                mov    %esp,%ebp
 8048c73: 53                   push   %ebx
 8048c74: 83 ec 14             sub    $0x14,%esp
 8048c77: 8b 5d 08             mov    0x8(%ebp),%ebx <-ebx作為counter，即所謂的n.
 8048c7a: b8 01 00 00 00       mov    $0x1,%eax
 8048c7f: 83 fb 01             cmp    $0x1,%ebx
 8048c82: 7e 0e                jle    8048c92 <func4+0x22><-若n=1則跳出遞迴
 8048c84: 8d 43 ff             lea    -0x1(%ebx),%eax<-eax存放n-1
 8048c87: 89 04 24             mov    %eax,(%esp)<-將n-1作為引數壓棧
 8048c8a: e8 e1 ff ff ff       call   8048c70 <func4><-遞迴
 8048c8f: 0f af c3             imul   %ebx,%eax<-n*n-1（此處n為當前引數）
 8048c92: 83 c4 14             add    $0x14,%esp
 8048c95: 5b                   pop    %ebx
 8048c96: 5d                   pop    %ebp
 8048c97: c3                   ret    

可以看出func4的作用是求當n！。

綜合對phase4的分析可以知道n！=0x13b0（即5040），可以推斷出n=7，即輸入密碼為7

*****************************************************************************************************************************************************************************************

08048e0a <phase_5>:
 8048e0a: 55                   push   %ebp
 8048e0b: 89 e5                mov    %esp,%ebp
 8048e0d: 57                   push   %edi
 8048e0e: 56                   push   %esi
 8048e0f: 53                   push   %ebx
 8048e10: 83 ec 1c             sub    $0x1c,%esp
 8048e13: 8b 7d 08             mov    0x8(%ebp),%edi
 8048e16: 89 3c 24             mov    %edi,(%esp)<-以上兩行將輸入字串壓棧
 8048e19: e8 d2 02 00 00       call   80490f0 <string_length><-根據函式名稱推斷該函式返回輸入字串的長度
 8048e1e: 83 f8 06             cmp    $0x6,%eax<-輸入字串長度必須為6
 8048e21: 74 05                je     8048e28 <phase_5+0x1e>
 8048e23: e8 f7 09 00 00       call   804981f <explode_bomb>
 8048e28: be 00 00 00 00       mov    $0x0,%esi
 8048e2d: bb 00 00 00 00       mov    $0x0,%ebx<-ebx即為counter，也就是n
 8048e32: b8 60 9e 04 08       mov    $0x8049e60,%eax<-0x8049e60是一個表，在此處利用gdb除錯斷點，使用x/s指令可以打印出表中內容
 8048e37: 0f be 14 1f          movsbl (%edi,%ebx,1),%edx<-輸入的字串的第n個放入edx
 8048e3b: 83 e2 0f             and    $0xf,%edx<-取出edx中儲存的字元ask碼的最後一位（解釋一下，如字元a，其ask碼為0x61，經過該操作取出了最後一個，得到的即為1）
 8048e3e: 03 34 90             add    (%eax,%edx,4),%esi<-利用上一句操作得到的數字，在上面打印出的表中進行偏移，取出表中的第n個，加到esi中(esi是一個存放累加和的暫存器）
 8048e41: 83 c3 01             add    $0x1,%ebx
 8048e44: 83 fb 06             cmp    $0x6,%ebx<-迴圈直到n=6
 8048e47: 75 ee                jne    8048e37 <phase_5+0x2d>
 8048e49: 83 fe 45             cmp    $0x45,%esi<-比較累加和與0x45，即輸入的字串只要滿足使得經過上面操作偏移後得到的數字之和為0x45即可，所以可能有很多組答案，輸入滿足條件的其中一組即可
 8048e4c: 74 05                je     8048e53 <phase_5+0x49>
 8048e4e: e8 cc 09 00 00       call   804981f <explode_bomb>
 8048e53: 83 c4 1c             add    $0x1c,%esp
 8048e56: 5b                   pop    %ebx
 8048e57: 5e                   pop    %esi
 8048e58: 5f                   pop    %edi
 8048e59: 5d                   pop    %ebp
 8048e5a: c3                   ret    

po主在這裡的答案是AAAAEO，答案不唯一。

*****************************************************************************************************************************************************************************************

Q6：

08048dbc <phase_6>:
 8048dbc: 55                   push   %ebp
 8048dbd: 89 e5                mov    %esp,%ebp
 8048dbf: 83 ec 18             sub    $0x18,%esp
 8048dc2: 89 5d f8             mov    %ebx,-0x8(%ebp)
 8048dc5: 89 75 fc             mov    %esi,-0x4(%ebp)
 8048dc8: c7 44 24 08 0a 00 00 movl   $0xa,0x8(%esp)
 8048dcf: 00 
 8048dd0: c7 44 24 04 00 00 00 movl   $0x0,0x4(%esp)
 8048dd7: 00 
 8048dd8: 8b 45 08             mov    0x8(%ebp),%eax
 8048ddb: 89 04 24             mov    %eax,(%esp)<-將輸入壓棧
 8048dde: e8 15 fb ff ff       call   80488f8 <strtol@plt><-該函式是string轉化為long的一個函式
 8048de3: 89 c6                mov    %eax,%esi<-將返回值放入esi暫存器
 8048de5: c7 04 24 20 b6 04 08 movl   $0x804b620,(%esp)<-!!!注意！此處是將記憶體0x804b620中的資料壓棧，並以此為引數呼叫fun6函式！與輸入無關！由此可以看出fun6的具體結果不受輸入值得影響，那麼可以隨便輸入一個數字，再利用gdb獲取fun6的返回值即可！
 8048dec: e8 a7 fe ff ff       call   8048c98 <fun6>
 8048df1: 8b 58 08             mov    0x8(%eax),%ebx
 8048df4: 8b 43 08             mov    0x8(%ebx),%eax
 8048df7: 39 30                cmp    %esi,(%eax)<-在此處利用p/x操作獲得eax暫存器中的值即可，所得即是要輸入的密碼！
 8048df9: 74 05                je     8048e00 <phase_6+0x44>
 8048dfb: e8 1f 0a 00 00       call   804981f <explode_bomb>
 8048e00: 8b 5d f8             mov    -0x8(%ebp),%ebx
 8048e03: 8b 75 fc             mov    -0x4(%ebp),%esi
 8048e06: 89 ec                mov    %ebp,%esp
 8048e08: 5d                   pop    %ebp
 8048e09: c3                   ret    

這個phase確實是很大的一個陷阱，初看很容易一頭扎進fun6研究函式的作用而忽略的fun6的引數實際是固定地址的問題。

po主在做的時候就差點死在fun6的一群跳轉中，最後也只是看出是一個類似連結串列的操作，後來仔細看了phase6才發現了這個函式的特點。

*****************************************************************************************************************************************************************************************

以為這樣就完了麼？沒有！還有隱藏phase等著我們呢！但是正常按照上面步驟做會發現好像輸入了第六個phase的結果之後程式就跳出了，那怎麼發現secret-phase呢？

先來看看phase-defused函式，就是完成條件吧！

0804978a <phase_defused>:
 804978a: 55                   push   %ebp
 804978b: 89 e5                mov    %esp,%ebp
 804978d: 53                   push   %ebx
 804978e: 83 ec 74             sub    $0x74,%esp
 8049791: c7 04 24 01 00 00 00 movl   $0x1,(%esp)
 8049798: e8 98 fc ff ff       call   8049435 <send_msg>
 804979d: 83 3d 0c b7 04 08 06 cmpl   $0x6,0x804b70c<-必須完成6個phase才能開啟隱藏phase
 80497a4: 75 73                jne    8049819 <phase_defused+0x8f>
 80497a6: 8d 45 a8             lea    -0x58(%ebp),%eax
 80497a9: 89 44 24 0c          mov    %eax,0xc(%esp)
 80497ad: 8d 45 a4             lea    -0x5c(%ebp),%eax
 80497b0: 89 44 24 08          mov    %eax,0x8(%esp)
 80497b4: c7 44 24 04 15 a0 04 movl   $0x804a015,0x4(%esp)<-在這裡，我們需要從主函式（main函式）的程式碼中看到每個phase的輸入都是利用了read_line這個函式的，那我們利用gdb在read_line函式中設定斷點來看每一個phase中讀入輸入值的位置，可以看出這個804a015是phase4函式讀入輸入值的位置
 80497bb: 08 
 80497bc: c7 04 24 10 b8 04 08 movl   $0x804b810,(%esp)<-利用gdb除錯，該地址中存的是"%d,%s"
 80497c3: e8 60 f2 ff ff       call   8048a28 <sscanf@plt>
 80497c8: 83 f8 02             cmp    $0x2,%eax<-輸入值有兩個，而phase4輸入的是一個十進位制數7，則可以看出我們還需要在這個7之後加一個字串才可以滿足開啟隱藏phase的條件
 80497cb: 75 34                jne    8049801 <phase_defused+0x77>
 80497cd: c7 44 24 04 1b a0 04 movl   $0x804a01b,0x4(%esp)<-將0x804a01b中的內容壓棧，在後面呼叫了string_not_equal函式來比較這個內容與輸入的字串。在此處用gdb的x/s的指令檢視0x804a01b中的內容，得到字串"austinpowers“，即可得知需要在phase4的輸入後面加上字串austinpowers，這樣才能開啟隱藏phase
 80497d4: 08 
 80497d5: 8d 45 a8             lea    -0x58(%ebp),%eax
 80497d8: 89 04 24             mov    %eax,(%esp)
 80497db: e8 2f f9 ff ff       call   804910f <strings_not_equal>
 80497e0: 85 c0                test   %eax,%eax
 80497e2: 75 1d                jne    8049801 <phase_defused+0x77>
 80497e4: c7 04 24 ec a0 04 08 movl   $0x804a0ec,(%esp)
 80497eb: e8 28 f2 ff ff       call   8048a18 <puts@plt>
 80497f0: c7 04 24 14 a1 04 08 movl   $0x804a114,(%esp)
 80497f7: e8 1c f2 ff ff       call   8048a18 <puts@plt>
 80497fc: e8 55 f5 ff ff       call   8048d56 <secret_phase>
 8049801: c7 04 24 4c a1 04 08 movl   $0x804a14c,(%esp)
 8049808: e8 0b f2 ff ff       call   8048a18 <puts@plt>
 804980d: c7 04 24 78 a1 04 08 movl   $0x804a178,(%esp)
 8049814: e8 ff f1 ff ff       call   8048a18 <puts@plt>
 8049819: 83 c4 74             add    $0x74,%esp
 804981c: 5b                   pop    %ebx
 804981d: 5d                   pop    %ebp
 804981e: c3                   ret    

-----------------------------------------------------------------------

打開了隱藏phase，我們來看看隱藏phase究竟是何方神聖！

08048d56 <secret_phase>:
 8048d56: 55                   push   %ebp
 8048d57: 89 e5                mov    %esp,%ebp
 8048d59: 53                   push   %ebx
 8048d5a: 83 ec 14             sub    $0x14,%esp
 8048d5d: e8 d8 0b 00 00       call   804993a <read_line>
 8048d62: c7 44 24 08 0a 00 00 movl   $0xa,0x8(%esp)
 8048d69: 00 
 8048d6a: c7 44 24 04 00 00 00 movl   $0x0,0x4(%esp)
 8048d71: 00 
 8048d72: 89 04 24             mov    %eax,(%esp)<-將輸入值壓棧，呼叫strtol函式將其轉化為long型
 8048d75: e8 7e fb ff ff       call   80488f8 <strtol@plt>
 8048d7a: 89 c3                mov    %eax,%ebx<-將輸入值放入ebx
 8048d7c: 8d 40 ff             lea    -0x1(%eax),%eax
 8048d7f: 3d e8 03 00 00       cmp    $0x3e8,%eax<-（不妨設輸入值為x）比較x-1與0x3e8。即輸入值不能大於0x3e9，否則boom！
 8048d84: 76 05                jbe    8048d8b <secret_phase+0x35>
 8048d86: e8 94 0a 00 00       call   804981f <explode_bomb>
 8048d8b: 89 5c 24 04          mov    %ebx,0x4(%esp)<-將輸入值作為引數壓棧
 8048d8f: c7 04 24 d4 b6 04 08 movl   $0x804b6d4,(%esp)<-將地址0x804b6d4壓棧
 8048d96: e8 6a ff ff ff       call   8048d05 <fun7>
 8048d9b: 83 f8 01             cmp    $0x1,%eax<-比較fun7（x）函式的結果與1，即要求輸入值能使fun7函式得到1，fun7函式在下面解釋
 8048d9e: 74 05                je     8048da5 <secret_phase+0x4f>
 8048da0: e8 7a 0a 00 00       call   804981f <explode_bomb>
 8048da5: c7 04 24 c4 9d 04 08 movl   $0x8049dc4,(%esp)
 8048dac: e8 67 fc ff ff       call   8048a18 <puts@plt>
 8048db1: e8 d4 09 00 00       call   804978a <phase_defused>
 8048db6: 83 c4 14             add    $0x14,%esp
 8048db9: 5b                   pop    %ebx
 8048dba: 5d                   pop    %ebp
 8048dbb: c3                   ret    
-----------------------------------------------------------------------
08048d05 <fun7>:
 8048d05: 55                   push   %ebp
 8048d06: 89 e5                mov    %esp,%ebp
 8048d08: 53                   push   %ebx
 8048d09: 83 ec 14             sub    $0x14,%esp
 8048d0c: 8b 55 08             mov    0x8(%ebp),%edx<-edx中儲存引數1（用x代表），即是0x804b6d4
 8048d0f: 8b 4d 0c             mov    0xc(%ebp),%ecx<-ecx中儲存引數2（用y代表），即是隱藏phase中輸入的值
情況1：
 8048d12: b8 ff ff ff ff       mov    $0xffffffff,%eax
 8048d17: 85 d2                test   %edx,%edx <-x=0時返回-1
 8048d19: 74 35                je     8048d50 <fun7+0x4b>
情況2：
 8048d1b: 8b 1a                mov    (%edx),%ebx<-ebx=*x
 8048d1d: 39 cb                cmp    %ecx,%ebx<-若 *x<y，則開始遞迴
 8048d1f: 7e 13                jle    8048d34 <fun7+0x2f>
 8048d21: 89 4c 24 04          mov    %ecx,0x4(%esp)
 8048d25: 8b 42 04             mov    0x4(%edx),%eax
 8048d28: 89 04 24             mov    %eax,(%esp)
 8048d2b: e8 d5 ff ff ff       call   8048d05 <fun7><-呼叫fun7（0x4（%edx),%ecx）
 8048d30: 01 c0                add    %eax,%eax<-返回ret*2（即每次遞迴返回值*2）
 8048d32: eb 1c                jmp    8048d50 <fun7+0x4b>
 情況3：
8048d34: b8 00 00 00 00       mov    $0x0,%eax
 8048d39: 39 cb                cmp    %ecx,%ebx<-若*x=y，則返回0
 8048d3b: 74 13                je     8048d50 <fun7+0x4b>
情況4：
 8048d3d: 89 4c 24 04          mov    %ecx,0x4(%esp)<-沒有判斷條件可以看出是default情況
 8048d41: 8b 42 08             mov    0x8(%edx),%eax
 8048d44: 89 04 24             mov    %eax,(%esp)
 8048d47: e8 b9 ff ff ff       call   8048d05 <fun7><-呼叫fun7(0x8(%edx),%ecx)
 8048d4c: 8d 44 00 01          lea    0x1(%eax,%eax,1),%eax<-返回ret*2+1(即每次遞迴返回值*2+1）
 8048d50: 83 c4 14             add    $0x14,%esp

 8048d53: 5b                   pop    %ebx
 8048d54: 5d                   pop    %ebp
 8048d55: c3                   ret    

根據返回值是1，可以判斷出遞迴結構是    （情況4（情況3））

那麼可以判斷情況4中呼叫的0x8(%edx）是0x804b6dc,利用gdb檢視該地址中的內容是0x804b6bc，再看情況三中要求輸入值與*（0x804b6bc）相等才能滿足，那麼再使用gdb調試出*（0x804b6bc）即可，得到結果是50，即為隱藏phase的密碼。

*****************************************************************************************************************************************************************************************

bomblab完成！是不是有點小激動呢！