| CMU 15213：machine | 您所在的位置：网站首页 › cmu15213官网 › CMU 15213：machine |
CMU 15213：machine
|
文章目录
1. 笔记1.1 basics1.2 control1.3 Procedures
2. bomb lab2.1 phase 12.2 phase 22.3 phase 31.4 phase 41.5 phase 51.6 phase 6
1. 笔记
本章的主要讲了编程语法，包括：汇编和C语言。 1.1 basics1.介绍了intel x86 processors的发展历史（AMD和ARM）； 2.指令集大的分类：cisc和risc； 3.c代码到可执行代码的过程： c代码；汇编代码（gcc -og -S）；二进制文件（gcc）；二进制文件（链接了其他的静态库）（gcc 或者 ld）；4.Objdump（将二进制代码转换成汇编代码）； 5.gdb调试时使用disassemble命令，也可以获取汇编代码； 6.x86-64寄存器：rax、rbx、rcx、rdx、rsi、rdi、rsp、rb和 r8-r15； rax表示是64bit；eax表示32bit；ax表示16bit；ah表示高8bit；al表示低8bit；7.Operation：
8.寻址方式（三种模式）： movq (%rcx),%rax：将rcx寄存器指向的地址数据移动到raxmovq 8(%rbp),%rdx：将[rbp]+8地址的数据移动到rdxMem[Reg[Rb]+S*Reg[Ri]+ D]（D只能是1、2、4和8）假设rdx=0xf000 rcx=0x0100，则计算地址的结果如下：
一般采用linux类型的汇编模式，而不是Intel模式的；它们之间差别还是很大的 1.X86-64单bit的寄存器：CF、SF、ZF、OF cf：下图是cf的置1的情况，分别是：进位（unsigned溢出）和借位； sf：下图是sf置1的情况，根据符号位是否为1来判断；  zf：当数据全为0时，zf置1；  of：当两个数（符号位一致）相加，得到结果的符号位同原数据的符号位不一致； 
2.Comq src2,src1指令：类似于src1-src2，影响PSW； 3.Testq src2,src1指令：类似于计算src1&src2；（经常用于判断一个寄存器里面得值是否为0） Zf set：src1&src2 == 0；Sf set：src1&src2 < 0；4.Set dest指令：用于判断PSW的值，当条件成立时将1写入dest；
5.Movzbl：高位填充为0； 6.jx指令： 8.c语言条件语句：if、a?b:c（注意b和c如果是表达式都会被计算，所以会增加复杂度）； 9.循环语句：do-while、while、for； 10.Switch：编译成汇编后，会结合jump table和rdi（index）找到对应的跳转入口； 1.3 Procedures1.ABI:机器程序级别的接口（windows linux ios都有自己的abi，大致相同，细节不同）。它包括：passing control、passing data、memory management等机制； 比如一个编译好的二进制程序，如果放在ABI修改后的机器上运行会导致程序出现无法预计的错误；2.Stack：向低地址增长 Pushq src：修改（减少8bytes）%rsp；将src写入stackPopq dest：将栈顶的数据放入dest；修改（增加8bytes）%rsp3.passing control 使用stack；执行call label语句时：将return address压入栈；跳转到label执行；Return address：当前call label语句的下一条语句的地址；执行ret语句时：pop出栈的return address；跳转到该处运行；4.Passing data 参数传递：前6个参数通过寄存器：%rdi、%rsi、%rdx、%rcx、%r8、%r9；剩余的参数通过stack传递；（浮点数参数有单独的寄存器）；返回值：%rax5.Stack frames： Contents：返回地址；局部变量空间；临时空间Management：stack分配空间（call）和释放空间的时机（return）；
call的时候是否压入%rbp是可选的 6.Linux stack frame
7.Register saving conventions “Caller Saved”：Caller saves temporary values in its frame before the call；“Callee Saved”：Callee saves temporary values in its frame before using；Callee restores them before returning to caller；Caller-saved registers (AKA volatile registers, or call-clobbered) are used to hold temporary quantities that need not be preserved across calls. caller如果在callee返回之后需要使用这些寄存器，则应该在callee之前保存它们。 Callee-saved registers (AKA non-volatile registers, or call-preserved) are used to hold long-lived values that should be preserved across calls. 说明这些寄存器在callee返回时会被恢复，所以caller可以不用保存这些寄存器，即使后面需要使用也不需要保存（因为Callee返回时会恢复）。 本实验主要考察了汇编、程序ABI的了解、gdb调试等基础知识。实验提供了一个二进制文件：bomb和一个c语言文件：bomb.c。 2.1 phase 1Phase 1的函数汇编代码如下： 0000000000400ee0 : 400ee0: 48 83 ec 08 sub $0x8,%rsp 400ee4: be 00 24 40 00 mov $0x402400,%esi 400ee9: e8 4a 04 00 00 callq 401338 400eee: 85 c0 test %eax,%eax 400ef0: 74 05 je 400ef7 400ef2: e8 43 05 00 00 callq 40143a 400ef7: 48 83 c4 08 add $0x8,%rsp 400efb: c3 retq很显然phase 1函数将我们的输入同bomb程序预先存储的字符串进行匹配，如果不一致的话则会引爆炸弹。 我们知道%rdi和%rsi可以用来传递参数，%rdi当前指向我们输入的字符串的地址，那么%esi就指向密钥。从汇编mov $0x402400,%esi可知，该密钥存储在0x402400内存地址上。 用gdb查看该地址存放的字符串的命令是：x/s 0x402400。得到输出结果：Border relations with Canada have never been better. 2.2 phase 2Phase 2的汇编代码如下： 0000000000400efc : 400efc: 55 push %rbp 400efd: 53 push %rbx 400efe: 48 83 ec 28 sub $0x28,%rsp 400f02: 48 89 e6 mov %rsp,%rsi 400f05: e8 52 05 00 00 callq 40145c 400f0a: 83 3c 24 01 cmpl $0x1,(%rsp) 400f0e: 74 20 je 400f30 400f10: e8 25 05 00 00 callq 40143a 400f15: eb 19 jmp 400f30 400f17: 8b 43 fc mov -0x4(%rbx),%eax 400f1a: 01 c0 add %eax,%eax 400f1c: 39 03 cmp %eax,(%rbx) 400f1e: 74 05 je 400f25 400f20: e8 15 05 00 00 callq 40143a 400f25: 48 83 c3 04 add $0x4,%rbx 400f29: 48 39 eb cmp %rbp,%rbx 400f2c: 75 e9 jne 400f17 400f2e: eb 0c jmp 400f3c 400f30: 48 8d 5c 24 04 lea 0x4(%rsp),%rbx 400f35: 48 8d 6c 24 18 lea 0x18(%rsp),%rbp 400f3a: eb db jmp 400f17 400f3c: 48 83 c4 28 add $0x28,%rsp 400f40: 5b pop %rbx 400f41: 5d pop %rbp 400f42: c3 retq关键代码是： 400efe: 48 83 ec 28 sub $0x28,%rsp 400f02: 48 89 e6 mov %rsp,%rsi 400f05: e8 52 05 00 00 callq 40145c函数read_six_numbers接收了两个参数，一个是我们的输入字符串的地址，它存放在%rdi；另一个%rsi，它保存了我们当前栈顶的地址。该函数的原型是：read_six_numbers(char *c_str, int *a)；那么可以猜测read_six_numbers函数把我们的输入字符串转成六个整数，并存放在以%rsp为首地址的连续内存区域，将该区域以数组A表示。 400f0a: 83 3c 24 01 cmpl $0x1,(%rsp) 说明A[0]是1。 跳转到400f25： 指向数组的下一个元素；取数组A[1]到%rbx，取数组end位置赋值给%rbp（用于遍历数组）；跳转到400f17 取数组当前位置的前一个数据，即A[0]；判断A[1] == A[0] + A[0]，则可知A[1] = 2以此类推。 最终结果是：1 2 4 8 16 32 2.3 phase 3phase 3汇编代码如下： 0000000000400f43 : 400f43: 48 83 ec 18 sub $0x18,%rsp 400f47: 48 8d 4c 24 0c lea 0xc(%rsp),%rcx 400f4c: 48 8d 54 24 08 lea 0x8(%rsp),%rdx 400f51: be cf 25 40 00 mov $0x4025cf,%esi 400f56: b8 00 00 00 00 mov $0x0,%eax 400f5b: e8 90 fc ff ff callq 400bf0 400f60: 83 f8 01 cmp $0x1,%eax 400f63: 7f 05 jg 400f6a 400f65: e8 d0 04 00 00 callq 40143a 400f6a: 83 7c 24 08 07 cmpl $0x7,0x8(%rsp) 400f6f: 77 3c ja 400fad 400f71: 8b 44 24 08 mov 0x8(%rsp),%eax 400f75: ff 24 c5 70 24 40 00 jmpq *0x402470(,%rax,8) 400f7c 400f7c: b8 cf 00 00 00 mov $0xcf,%eax 400f81: eb 3b jmp 400fbe 400f83: b8 c3 02 00 00 mov $0x2c3,%eax 400f88: eb 34 jmp 400fbe 400f8a: b8 00 01 00 00 mov $0x100,%eax 400f8f: eb 2d jmp 400fbe 400f91: b8 85 01 00 00 mov $0x185,%eax 400f96: eb 26 jmp 400fbe 400f98: b8 ce 00 00 00 mov $0xce,%eax 400f9d: eb 1f jmp 400fbe 400f9f: b8 aa 02 00 00 mov $0x2aa,%eax 400fa4: eb 18 jmp 400fbe 400fa6: b8 47 01 00 00 mov $0x147,%eax 400fab: eb 11 jmp 400fbe 400fad: e8 88 04 00 00 callq 40143a 400fb2: b8 00 00 00 00 mov $0x0,%eax 400fb7: eb 05 jmp 400fbe 400fb9: b8 37 01 00 00 mov $0x137,%eax 400fbe: 3b 44 24 0c cmp 0xc(%rsp),%eax 400fc2: 74 05 je 400fc9 400fc4: e8 71 04 00 00 callq 40143a 400fc9: 48 83 c4 18 add $0x18,%rsp 400fcd: c3 retq关键代码是： 400f47: 48 8d 4c 24 0c lea 0xc(%rsp),%rcx 400f4c: 48 8d 54 24 08 lea 0x8(%rsp),%rdx 400f51: be cf 25 40 00 mov $0x4025cf,%esi 400f56: b8 00 00 00 00 mov $0x0,%eax 400f5b: e8 90 fc ff ff callq 400bf0我们知道%rdi、%rsi、%rdx、%rcx、%r8、%r9用来传递参数，这里将phase_3函数的栈地址写入%rcx和%rdx，说明接下来被调用的函数将把关键数据写入这两个地址。可以得到phase_4调用的函数是__isoc99_sscanf(char *c,"%d %d",&a, &b)。所以，我们应该两个整数。 跳转到400f6a： 检查我们输入的第一个整数是否大于7；将输入的第一个整数保存到%rax；400f75: ff 24 c5 70 24 40 00 jmpq *0x402470(,%rax,8)根据我们的输入的第一个整数来进行跳转，很明显是一个switch case。 最后结果有多个，其中一个是：0 207 1.4 phase 4phase 4的汇编代码如下： 000000000040100c : 40100c: 48 83 ec 18 sub $0x18,%rsp 401010: 48 8d 4c 24 0c lea 0xc(%rsp),%rcx 401015: 48 8d 54 24 08 lea 0x8(%rsp),%rdx 40101a: be cf 25 40 00 mov $0x4025cf,%esi 40101f: b8 00 00 00 00 mov $0x0,%eax 401024: e8 c7 fb ff ff callq 400bf0 401029: 83 f8 02 cmp $0x2,%eax 40102c: 75 07 jne 401035 40102e: 83 7c 24 08 0e cmpl $0xe,0x8(%rsp) 401033: 76 05 jbe 40103a 401035: e8 00 04 00 00 callq 40143a 40103a: ba 0e 00 00 00 mov $0xe,%edx 40103f: be 00 00 00 00 mov $0x0,%esi 401044: 8b 7c 24 08 mov 0x8(%rsp),%edi 401048: e8 81 ff ff ff callq 400fce 40104d: 85 c0 test %eax,%eax 40104f: 75 07 jne 401058 401051: 83 7c 24 0c 00 cmpl $0x0,0xc(%rsp) 401056: 74 05 je 40105d 401058: e8 dd 03 00 00 callq 40143a 40105d: 48 83 c4 18 add $0x18,%rsp 401061: c3 retq401029: 83 f8 02 cmp $0x2,%eax可知需要我们输入两个整数； 40102e: 83 7c 24 08 0e cmpl $0xe,0x8(%rsp)而且第一个整数>16得到0 400fdb: 01 c8 add %ecx,%eax //%eax不变，还是14 400fdd: d1 f8 sar %eax //14>>1得到7 400fdf: 8d 0c 30 lea (%rax,%rsi,1),%ecx //%rax+1*%rsi得到7 400fe2: 39 f9 cmp %edi,%ecx //%edi也就是我们输入的第一个参数 400fe4: 7e 0c jle 400ff2 //%edi不能够大于7，跳转 400fe6: 8d 51 ff lea -0x1(%rcx),%edx 400fe9: e8 e0 ff ff ff callq 400fce 400fee: 01 c0 add %eax,%eax 400ff0: eb 15 jmp 401007 400ff2: b8 00 00 00 00 mov $0x0,%eax // 400ff7: 39 f9 cmp %edi,%ecx // 400ff9: 7d 0c jge 401007 //%edi不能够小于7 400ffb: 8d 71 01 lea 0x1(%rcx),%esi 400ffe: e8 cb ff ff ff callq 400fce 401003: 8d 44 00 01 lea 0x1(%rax,%rax,1),%eax 401007: 48 83 c4 08 add $0x8,%rsp 40100b: c3 retq func4的输入参数保存在%rdi，它也是我们输入的第一个整数。该函数有多个mov、sub和移位操作，可以稍微模拟一下，具体看代码的注释。由注释中可知%rdi不能大于7，也不能小于7，所以%rdi是7。 最终结果是：7 0 1.5 phase 5phase 5的汇编代码如下： 0000000000401062 : 401062: 53 push %rbx 401063: 48 83 ec 20 sub $0x20,%rsp 401067: 48 89 fb mov %rdi,%rbx 40106a: 64 48 8b 04 25 28 00 mov %fs:0x28,%rax 401071: 00 00 401073: 48 89 44 24 18 mov %rax,0x18(%rsp) 401078: 31 c0 xor %eax,%eax 40107a: e8 9c 02 00 00 callq 40131b 40107f: 83 f8 06 cmp $0x6,%eax //1. 可知我们输入的字符串长度为6 401082: 74 4e je 4010d2 401084: e8 b1 03 00 00 callq 40143a 401089: eb 47 jmp 4010d2 40108b: 0f b6 0c 03 movzbl (%rbx,%rax,1),%ecx //4. 取字符串第一个字符 40108f: 88 0c 24 mov %cl,(%rsp) //5. 将该字符放到栈中 401092: 48 8b 14 24 mov (%rsp),%rdx //6. 取该字符到%rdx 401096: 83 e2 0f and $0xf,%edx //7. 401099: 0f b6 92 b0 24 40 00 movzbl 0x4024b0(%rdx),%edx //8. 0x4024b0 + %rdx 4010a0: 88 54 04 10 mov %dl,0x10(%rsp,%rax,1) //9. 新数据存到栈中 4010a4: 48 83 c0 01 add $0x1,%rax //10. 递增索引 4010a8: 48 83 f8 06 cmp $0x6,%rax //11. 判断是否结束 4010ac: 75 dd jne 40108b 4010ae: c6 44 24 16 00 movb $0x0,0x16(%rsp) //12. 结束前面的转换 4010b3: be 5e 24 40 00 mov $0x40245e,%esi //13. 该地址存放的字符串时flyers 4010b8: 48 8d 7c 24 10 lea 0x10(%rsp),%rdi //14. 将9新生成的数据和flyers作比较 4010bd: e8 76 02 00 00 callq 401338 4010c2: 85 c0 test %eax,%eax 4010c4: 74 13 je 4010d9 4010c6: e8 6f 03 00 00 callq 40143a 4010cb: 0f 1f 44 00 00 nopl 0x0(%rax,%rax,1) 4010d0: eb 07 jmp 4010d9 4010d2: b8 00 00 00 00 mov $0x0,%eax //2. %eax 4010d7: eb b2 jmp 40108b //3. 回跳 4010d9: 48 8b 44 24 18 mov 0x18(%rsp),%rax 4010de: 64 48 33 04 25 28 00 xor %fs:0x28,%rax 4010e5: 00 00 4010e7: 74 05 je 4010ee 4010e9: e8 42 fa ff ff callq 400b30 4010ee: 48 83 c4 20 add $0x20,%rsp 4010f2: 5b pop %rbx 4010f3: c3 retq该函数大致流程是： 我们输入长度为6的字符串；将该字符串中的每一个字符的二进制的低4bit作为0x4024b0的偏移地址，将该偏移地址的数据存放到栈中，最终得到新的字符串；将新字符串同“flyers”比较；所以我们输入的字符串应该根据地址0x4024b0对应的字符f、l、y、e、r、s的偏移来决定。 最后的结果是：ionefg 1.6 phase 6太复杂，只能大概推测一下： 输入6个整数；函数首先是二重循环判断是否有相同的和是否大于6；用7减将该数组中的每一个元素得到新的数组；后面的有点类似于phase 5，将内存的数据根据输入的数据的大小存放到栈中，最后进行比较； |
9. 地址计算指令leaq，它主要有两个用途：
7.c语言goto；
【本文地址】