南邮 CTF 逆向入门——“ReadAsm2” 笔记

相关链接:南邮CTF

一、题目介绍

读汇编是逆向基本功。

给出的文件是func函数的汇编
main函数如下
输出的结果即为flag,格式为flag{**********},请连flag{}一起提交

编译环境为linux gcc x86-64
调用约定为System V AMD64 ABI
请不要利用汇编器,IDA等工具。。这里考的就是读汇编与推算汇编结果的能力

int main(int argc, char const *argv[])
{
  char input[] = {0x0,  0x67, 0x6e, 0x62, 0x63, 0x7e, 0x74, 0x62, 0x69, 0x6d,
                  0x55, 0x6a, 0x7f, 0x60, 0x51, 0x66, 0x63, 0x4e, 0x66, 0x7b,
                  0x71, 0x4a, 0x74, 0x76, 0x6b, 0x70, 0x79, 0x66 , 0x1c};
  func(input, 28);
  printf("%s\n",input+1);
  return 0;
}

参考资料:
https://github.com/veficos/reverse-engineering-for-beginners
《汇编语言》王爽
《C 反汇编与逆向分析技术揭秘》

00000000004004e6 <func>:
  4004e6: 55                    push   rbp
  4004e7: 48 89 e5              mov    rbp,rsp
  4004ea: 48 89 7d e8           mov    QWORD PTR [rbp-0x18],rdi
  4004ee: 89 75 e4              mov    DWORD PTR [rbp-0x1c],esi
  4004f1: c7 45 fc 01 00 00 00  mov    DWORD PTR [rbp-0x4],0x1
  4004f8: eb 28                 jmp    400522 <func+0x3c>
  4004fa: 8b 45 fc              mov    eax,DWORD PTR [rbp-0x4]
  4004fd: 48 63 d0              movsxd rdx,eax
  400500: 48 8b 45 e8           mov    rax,QWORD PTR [rbp-0x18]
  400504: 48 01 d0              add    rax,rdx
  400507: 8b 55 fc              mov    edx,DWORD PTR [rbp-0x4]
  40050a: 48 63 ca              movsxd rcx,edx
  40050d: 48 8b 55 e8           mov    rdx,QWORD PTR [rbp-0x18]
  400511: 48 01 ca              add    rdx,rcx
  400514: 0f b6 0a              movzx  ecx,BYTE PTR [rdx]
  400517: 8b 55 fc              mov    edx,DWORD PTR [rbp-0x4]
  40051a: 31 ca                 xor    edx,ecx
  40051c: 88 10                 mov    BYTE PTR [rax],dl
  40051e: 83 45 fc 01           add    DWORD PTR [rbp-0x4],0x1
  400522: 8b 45 fc              mov    eax,DWORD PTR [rbp-0x4]
  400525: 3b 45 e4              cmp    eax,DWORD PTR [rbp-0x1c]
  400528: 7e d0                 jle    4004fa <func+0x14>
  40052a: 90                    nop
  40052b: 5d                    pop    rbp
  40052c: c3                    ret

二、分析

看到这个汇编代码我很懵,感觉每一步做什么大概都理解,连在一起结合 C语言 的代码就看不懂了

问题就出在对函数调用的汇编代码不熟悉。我只知道 C语言在调用函数时将参数从右往左入栈,但是并不知道 func 函数中 [rbp-0x18]…这些到底是什么,也不知道为什么凭空出现了 rdi 和 esi,这两个寄存器似乎在函数调用前就赋了值

带着这几个问题,我在网上查找资料:

1、rdi 和 esi

看起来 rdi 和 esi 存放着参数的地址或者数据?这个解释似乎比较合理,func 在创建栈帧后的第一步就是将 rdi 和 esi 中的值赋值到一个地址(是栈吗?栈前面是ss:,但是这个表达的话好像是 ds:?)中,并且在后面的代码中都会用到

因为有 rdi,这是64位的寄存器,联想到我们要传入一个数组的地址——“input”也是 64 位的

另外一个参数是 28,用 esi 来存储它看起来很合适

2、[rbp-0x18]…

这些都是地址,暂且把它当做一个变量看


不如继续往下看代码,先是 jmp 到 400522 地址处,然后将 [rbp-0x4] 地址处的内容复制给 eax(这里的 [rbp-0x4] 在 4004f1 的代码中被赋值为 1),然后将 eax 与 [rbp-0x1c] 中的数值进行比较(这个地址中的数值就是 esi 的数值),如果 eax 中的值小于或等于 esi 的值,就会跳转到 4004fa 处继续,否则就向下继续执行,最后返回

4004fa 地址处的代码相当于:将 [rbp-0x18] 处的代码加上 [rbp-0x4] 处的代码,然后赋值给 rax。然后重复一遍,将值赋值给 rdx。

获得 rdx 处的一字节数据并赋值给 ecx

将[rbp-0x4]处的值赋值给edx

然后将 edx 和 ecx 的值取异或

将结果赋值给 [rax](上面将 rax 赋值过)

接着递增 [rbp-0x4]的值

之后在进行第一段中的比较。

可以看出来,这是一个 while 循环,i 的初值是 1,之后递增 i ,当 i>28 时推出循环

循环体中的内容就是将数组 input 中的下标加上 i (0+i),然后将这一个字符的ASCII码值与 i 取异或,然后覆盖原来的值

三、得到 flag

知道了 func 函数的内容,接下来我们来推出 flag

昨天刚开始学 python ,所以很想用 python写一个脚本,感受一下这个语言的方便,但是又发现自己连循环都不太会写,所以请 Roseetta404 帮我写了个脚本

str=""
for i in range(1,29):
    ch=input('Input')
    t=int(ch,16)
    str+=chr(t^i)
    i+=1
print(str)

感谢,在这里感受到了 python 写脚本的方便之处,少了很多羁绊

敲入input数组中的内容,得到flag

四、总结

就如同 flag 所言, read asm is the basic。能够熟练看懂汇编语言真的是基础中的基础。我虽然学习了 16 位的汇编,但是在函数调用,寄存器的用途,栈等方面的经验相当匮乏,以至于一开始没有看懂 rdi 和 esi 的用处。

之前两天养成了一个坏习惯,先用 Ollydbg 观察程序,一找到处理字符串的函数就退缩了,赶紧打开 IDA PRO 看伪C代码。还是不好,应该多看看汇编代码,尝试通过看汇编代码理解函数

感谢这道题目,让我静下心来研究了汇编代码。也让我发现了自己在基础部分的问题。

发表评论

电子邮件地址不会被公开。 必填项已用*标注

此站点使用Akismet来减少垃圾评论。了解我们如何处理您的评论数据