Bomblab拆弹实验
Bomblab拆弹实验总结
前期准备
安装gdb-peda插件
首先使用tar -xvf 42024203.tar解压压缩包，然后使用 gdb ./work/bomb 指令用gdb打开二进制可执行文件bomb
Phase 0
获取phase0的汇编代码：
1 | disassemble phase_0 |
1 | Dump of assembler code for function phase_0: |
分析可得只需要查看0x804b1c8处字符串的值即可获得phase_0的答案
1 | x/s 0x804b1c8 |
查询可得正确结果Why index with the middle bits?
Phase 1
获取phase1的汇编代码：
1 | disassemble phase_1 |
1 | Dump of assembler code for function phase_1: |
编写以下C++代码，模拟程序执行的过程
1 | double value=0x2009dd99; //传入浮点寄存器中的数值 |
运行上述程序，得到答案
-864026624 1103103214
Phase 2
输入disassemble phase_2获取phase2的汇编代码：
1 | disassemble phase_2 |
1 | Dump of assembler code for function phase_2: |
通过分析代码可得，该程序要求输入一组以数32，64开头的数，要满足如下关系式
1 | array [i]== array [i-1]+ array [i-2]/2; |
编写程序C++程序模拟循环获得结果
1 | int array [8]={32,64}; |
结果如下
32 64 80 112 152 208 284 388
Phase 3
输入disassemble phase_3获取phase3的汇编代码：
1 | gdb-peda$ disassemble phase_3 |
根据上述分析可得，第一个输入减去203不能大于9，每种可能的第一个输入对应一种正确的第二个输入，得到下面一组解
204 1000
Phase 4
输入disassemble phase_4获取phase4的汇编代码:
1 | disassemble phase_4 |
1 | Dump of assembler code for function phase_4: |
利用gdb的断点和步进功能，输入一个合法的输入，获取调用完func4后内存中该输入的值，此值即为对应的第二个输出，以6为例
1 | 设置断点 |
Phase 5
输入disassemble phase_5获取phase5的汇编代码：
1 | disassemble phase_5 |
1 | Dump of assembler code for function phase_5: |
分析可得，程序需要输入长度为6的字符串，字符串中的每个字符的ASCII码与0xf进行AND运算得到的数作为下标，访问字符数组<array.2712>中的元素并替换输入字符数组的元素，最终的得到的字符串需要等于ckmfia。
因此，首先需要查看<array.2712>中的元素
1 | x/s 0x804d25c |
然后分别找到ckmfia在array中的位置（7，12，2，15，14，4），现在需要得到能够和0xf做AND运算产生这些下标的字符，编写C++程序遍历0~127，将符合要求的字符输出，即可得到答案，主函数代码如下:
1 | string array_2712="lbmpagdcehnokjif"; |
最终得到输出如下
1 | Index0: ' 7 G W g w |
任取其中一种组合，即可得到正确答案，如
glbond
Phase 6
输入disassemble phase_6获取phase6的汇编代码:
1 | disassemble phase_6 |
1 | Dump of assembler code for function phase_6: |
根据分析可得，答案由1~7组成且不能重复，编写C++程序生成所有可能的输入（1~7的全排列），记录其对应的输出，并且依次检索输出，找到有拆弹成功提示语句的输出，其对应输入即为答案，代码及思路如下：
首先编写gen.cpp，负责在input文件夹中生成输入文件，并按序号命名，代码如下；
1 |
|
编译运行后，即可在当前目录下得到input文件夹和全排列数5039，随后编写scaner.cpp用于检索答案，代码如下：
1 |
|
上述代码编写完成后，已经可以自动生成输入和检索输出了，接下来需要编写shell脚本生成input文件，自动执行bomb文件，将每一个input带入运行，得到并记录对应的Output，再对Output进行检索即可得到正确答案。将scaner.cpp和gen.cpp打包为tools.tar.gz，编写的shell脚本run.sh，代码如下：
1 |
|
将tools.tar.gz和run.sh上传至~/work目录中执行脚本
1 | (base) jovyan@b5ea96d0ec9c:~/work$ chmod +x ./run.sh |
最终得到如下输出
1 | ./Output/Output3078 |
查看对应input3078的内容即可得到答案
1 | (base) jovyan@b5ea96d0ec9c: ~/work$ vim ./input/3078.txt |
因此正确答案为
5 2 6 3 1 4 7
Phase 7 隐藏关
1 | disassemble secret_phase |
1 | Dump of assembler code for function secret_phase: |
根据查询内容推断可得，在phase4答案后输入bcLjEp，即可打开隐藏关入口，随后分析fun7
1 | gdb-peda$ disassemble fun7 |
编写以下代码模拟功能：
1 | int fun7(int input_1, int input_2) |
得到结果
107
一键拆弹方法
注意
此方法仅供学习交流使用, 不要用于正式评测及学术欺诈等不正当用途
实现方法
使用过程中发现, 提交评测时测试程序会检索bomb的输出,每得到一个正确的输出增加10分,因此只需要编写新的bomb,输出所有得分语句,并且替换即可一键拆弹
1 |
|
为了达到~~真 一键拆弹~~的效果, 再编写一个shell脚本,自动执行编译和替换文件
1 | !/bin/bash |
完成后执行脚本即可
All articles in this blog are licensed under CC BY-NC-SA 4.0 unless stating additionally.
Related Articles
)),-(((best-quality))),-((ultra-detailed)),-(illustration),-((an-extremely-delicate-and-beautiful)),-beautiful-detailed-eyes,(detailed-light),(beautiful-deatailed-sh-s-3848031555.61ywp8q261o0.webp)
