基礎實驗：位操作、Binary Bombs與緩沖區(qū)溢出)
簡介這份華中科技大學計算機系統(tǒng)基礎實驗報告面向學習計算機系統(tǒng)導論、數(shù)據(jù)表示與底層編程的高校學生及自學者圍繞整數(shù)與浮點數(shù)編碼、位操作、補碼運算、Binary Bombs拆解和緩沖區(qū)溢出攻擊等實驗展開可用于課程實驗復盤、期末復習與調試思路梳理。壓縮包共1個docx文檔約1.6MB按實驗報告體例收錄實驗概述、實驗內容、設計源碼與總結便于對照C語言函數(shù)實現(xiàn)和Linux環(huán)境下的操作要點。目前已有1388人學習下載在同類課程資料中具有一定參考價值。文檔具體呈現(xiàn)lsbZero、byteNot、byteXor、logicalAnd、rotateLeft等位運算題目的實現(xiàn)思路也記錄Binary Bombs逐階段分析與緩沖區(qū)溢出檢測的實踐過程能幫助讀者理解計算機內部如何存儲和處理信息并積累排錯與問題拆解經驗適合需要補齊底層實驗短板、對照源碼查漏補缺的讀者。1. 從一份實驗報告說起三個實驗正好卡在機器級表示的三道坎上翻這份計算機系統(tǒng)基礎實驗報告最先吸引我的不是目錄而是它把最容易「原理看得懂、代碼寫不出」的三塊內容串成了一條線數(shù)據(jù)表示、Binary Bombs、緩沖區(qū)溢出。報告里既有bits.c里 13 個函數(shù)的完整源碼和算子預算也有炸彈六個階段的 gdb 跟蹤記錄還有棧幀偏移的實測過程。它適合兩類人正在做同類實驗、被 Max ops 卡住的同學以及想重新過一遍機器級表示、又不想從教材第一章啃起的開發(fā)者。下面按「怎么跑起來、參數(shù)怎么改、哪里會出問題」的順序拆。2. bits.c 位操作13 個函數(shù)的算子預算怎么分配才不超標數(shù)據(jù)表示這一實驗的難點不在算法思想而在約束。13 個函數(shù)分成位操作、補碼運算、浮點數(shù)三類每類都有Max ops上限和Rating難度分超過上限直接判錯哪怕結果對。我在下面先把約束講清再逐個拆寫法最后給出驗證流程。2.1 三條硬約束合法算子、Max ops、常量范圍dlc是這套實驗的規(guī)則檢查器它不運行你的代碼只做靜態(tài)掃描。它檢查的東西比大多數(shù)人以為的多算子白名單。每個函數(shù)頭注釋里都寫了Legal ops比如lsbZero只允許! ~ ^ | 寫了-、*、/、%就報錯。算子計數(shù)。Max ops統(tǒng)計的是所有出現(xiàn)的運算符實例一個記 1 個移位記 1 個。注意是「實例」x y z算 2 個。常量范圍。整數(shù)常量一般限制在 0255所以0xff合法0xffffffff不合法得用~0或(131)31造全 1 掩碼?？刂屏飨拗?。位操作和補碼類函數(shù)禁止if、while、for浮點兩題反而允許因為它們是unsigned函數(shù)。下表把 13 個函數(shù)的預算和核心思路對齊寫代碼前先看這張表比上來就寫更省時間函數(shù)類別RatingMax ops核心思路lsbZero位操作15右移丟掉最低位再左移補 0byteNot位操作26造出第 n 字節(jié)為 0xff 的掩碼異或byteXor位操作220右移取出雙字第 n 字節(jié)異或后邏輯化logicalAnd位操作320!!兩次把任意非零壓成 1再相與logicalOr位操作320同上改成相或rotateLeft位操作325造低 n 位全 1 的掩碼接住右移搬過來的位parityCheck位操作420折疊異或把 32 位壓到 1 位mul2OK補碼220比較符號位與次高位是否一致mult3div2補碼212乘 3 后處理向零取整的舍入subOK補碼320同號相減不溢出異號看結果符號absVal補碼410用算術右移得到全 0 或全 1 掩碼float_abs浮點210清符號位NaN 例外返回原值float_f2i浮點430拆分階碼按 127/150 分界處理提示先跑./dlc -e bits.c看每個函數(shù)實際用了幾個算子比肉眼數(shù)準。-e會打印每個函數(shù)的算子計數(shù)超標的函數(shù)會單獨標注。2.2 位操作與補碼從 lsbZero 到 absVal 的寫法拆解先說最簡單的lsbZero。把最低有效位清 0直覺寫法是x ~1但~1是0xfffffffe常量超標于是改用移位右移一位再左移一位。這里有個容易忽略的細節(jié)int的右移是算術右移負數(shù)右移會補符號位但緊接著左移一位后最低位仍然是 0符號位也回來了所以正負都不受影響。byteNot是這套代碼里比較有代表性的寫法用 0xff 左移 8n 位造掩碼/* * byteNot - 把雙字 x 的第 n 個字節(jié)按位取反 * n 取 0(最低字節(jié)) 到 3(最高字節(jié)) * 例: byteNot(0x12345678, 1) 0x1234A978 */ int byteNot(int x, int n) { int y 0xff; /* 單字節(jié)全 1 掩碼 */ n n 3; /* 字節(jié)序號轉位偏移1 字節(jié) 8 位 */ y y n; /* 掩碼平移到目標字節(jié)位置 */ x x ^ y; /* 異或 1 即取反其它字節(jié)異或 0 不變 */ return x; }邏輯說明異或的性質是「與 1 異或取反與 0 異或保持」所以只要造出一個只有目標字節(jié)為全 1 的掩碼一次異或就能完成局部取反。參數(shù)說明n是字節(jié)序號必須先左移 3 位換算成位偏移這是所有字節(jié)級操作的固定套路0xff是老式 C 寫法等價于255寫成十進制同樣合法只是可讀性差一點。byteXor是同一套路的反向用法先右移把目標字節(jié)挪到最低位再和0xff相與切干凈最后異或取邏輯值。這里的關鍵點是 0xff必須在異或之前因為算術右移會把符號位鋪滿高位不切干凈的話兩個數(shù)的高位污染會直接算進結果里。最后用!!把任意非零值壓成 1這個技巧在整套代碼里反復出現(xiàn)是繞開if的標準手段。rotateLeft是位操作里最容易寫錯的一題。循環(huán)左移的本質是「左移 n 位丟掉的高位要補到低位去」所以右移32-n位把丟掉的位搬回來再用掩碼只保留低 n 位/* * rotateLeft - 把 x 循環(huán)左移 n 位, 0 n 31 * 例: rotateLeft(0x87654321, 4) 0x76543218 */ int rotateLeft(int x, int n) { int z; /* (131)31 得到全 1, 左移 n 位后低 n 位為 0, 取反得低 n 位全 1 */ z ~(((1 31) 31) n); /* 32 (~n 1) 即 32 - n, 用補碼加法避開減法運算符 */ x ((x (32 (~n 1))) z) (x n); return x; }邏輯說明x n負責把主體左移空出來的低 n 位是 0x (32-n)把溢出的高 n 位搬到最低位但高位會帶上符號位的臟數(shù)據(jù)所以必須 z只留低 n 位兩段沒有重疊位用加法或按位或結果一樣。參數(shù)說明32 (~n 1)就是32 - n因為~n 1是n的相反數(shù)補碼這么寫純粹是為了避開減法運算符算子數(shù)也只多花 2 個。掩碼z的構造用了(131)31這是造全 1 常量的通用寫法比硬寫0xffffffff安全。parityCheck判斷 1 的個數(shù)奇偶思路是折疊把高 16 位和低 16 位異或問題規(guī)模減半重復 5 次后所有位的奇偶性匯總到最低位附近。這套代碼取巧在最后一步用y 31直接取符號位而不是繼續(xù) 1省了一個算子。需要注意的是這個寫法依賴算術右移對負數(shù)的行為在 x86-64 的 gcc 默認設置下沒問題換成-funsigned-char之類的極端配置要重新驗證。補碼類里absVal是最能體現(xiàn)「掩碼思維」的一題/* * absVal - 求 x 的絕對值, -TMax x TMax * 例: absVal(-1) 1 */ int absVal(int x) { int y x 31; /* x 為負則 y 全 1, 否則全 0 */ x (y (~x 1)) ((~y) x); /* 負則取 ~x1, 否則保持 x */ return x; }邏輯說明x 31是一個不花錢的分支負數(shù)得全 1、非負得全 0y (~x1)在負數(shù)時生效~y x在非負時生效兩段互斥所以相加就是選擇。參數(shù)說明~x 1是求相反數(shù)的標準寫法等價于-x省一個算子。mult3div2和subOK是同類思路前者要額外處理「負數(shù)右移向負無窮取整」和「C 語言除法向零取整」的差異后者靠「同號相減必不溢出」這條性質判斷。2.3 浮點兩題float_abs 與 float_f2i 的 127/150 分界浮點題允許用if和while所以重點從「省算子」變成「把 IEEE 754 的位布局記準」。單精度格式是 1 位符號、8 位階碼、23 位尾數(shù)階碼偏置值是 127尾數(shù)隱含一個前導 1這三點決定了float_f2i的全部邏輯。原文里float_f2i用 150 做分界這個 150 不是隨便來的真實數(shù)值等于尾數(shù)乘以2^(階碼-127-23)把隱含位移進去之后指數(shù)就變成階碼 - 150所以 150 就是「小數(shù)點落在尾數(shù)最低位」的臨界階碼。/* * float_f2i - 把單精度浮點位模式轉成 int * 超出范圍(含 NaN/無窮)統(tǒng)一返回 0x80000000 */ int float_f2i(unsigned uf) { unsigned num 0x80000000; /* 補上隱含的前導 1, 得到 24 位有效數(shù)字 */ int x (uf 0x007fffff) ^ 0x00800000; int order (uf 0x7f800000) 23; /* 取 8 位階碼 */ if (order 158) return num; /* 指數(shù)過大, 必溢出 */ if (order 127) return 0; /* 絕對值小于 1, 截斷為 0 */ else if (((uf 31) 1) 1) { /* 負數(shù)分支 */ if (order 150) return ~(x (order - 150)) 1; else return ~(x (150 - order)) 1; } else { /* 正數(shù)分支 */ if (order 150) return x (order - 150); else return x (150 - order); } }邏輯說明(uf 0x007fffff) ^ 0x00800000是在尾數(shù)最高位補上隱含的 1異或和按位或結果相同寫成異或只是沿用了原文風格。階碼大于 150 說明小數(shù)點要往右移尾數(shù)左移小于 150 說明要往左移尾數(shù)右移右移本身實現(xiàn)的就是截斷正好對上 C 語言整數(shù)轉換向零取整的語義。負數(shù)分支多一步取相反數(shù)因為補碼負數(shù)右移是向下取整與向零取整差 1。參數(shù)說明order 158是溢出上界order 127直接歸零這兩個邊界值對應2^31和1.0改動任何一個都會讓邊界用例掛掉。2.4 驗證流程dlc 查規(guī)則、btest 查結果、driver 查邊界寫完不是結束這套實驗的驗證鏈有三層缺一層就可能出現(xiàn)「自己測全對、交上去全錯」# 1. 規(guī)則檢查, -e 順便打印每個函數(shù)的算子數(shù) ./dlc -e bits.c # 2. 全量測試, 逐函數(shù)跑標準用例 make btest ./btest # 3. 單函數(shù)調試, -f 指定函數(shù)名 ./btest -f float_f2i # 4. 指定輸入驗證邊界值, 后面跟的是函數(shù)參數(shù) ./btest -f float_f2i -1 0x4b000000命令說明./dlc -e bits.c只看靜態(tài)規(guī)則不保證邏輯對./btest才跑用例輸出里每個函數(shù)一行錯的會打印期望值和實際值-1表示給函數(shù)傳一個參數(shù)十六進制參數(shù)直接寫0x前綴。我一般習慣先把dlc跑通再跑btest因為算子超標時btest的輸出會混著規(guī)則錯誤排查起來更亂。原文里實驗結果是 13 個函數(shù)全部通過說明這套寫法在標準用例下是站得住的。3. Binary Bombs 拆彈用 gdb 斷點和 objdump 反匯編逐階段推進第二個實驗是拆二進制炸彈一個 Linux 可執(zhí)行程序六個階段各要一個正確輸入輸錯就打印BOOM!!!并退出。這一實驗真正考的是「讀匯編 用調試器驗證假設」不是靠猜。下面按準備、推進、隱藏階段三塊講每個階段給出判斷依據(jù)而不是直接給答案因為不同炸彈的答案本來就不一樣。3.1 拆彈前的三件準備反匯編、斷點、輸入文件第一件事是把二進制攤開成可讀的匯編同時準備好輸入文件避免每次運行都手敲# 反匯編到文件, 后面全程以這個文件為主戰(zhàn)場 objdump -d bomb asm.txt # 用文本工具定位各階段入口 grep -n phase_ asm.txt # 準備輸入文件, 一行一個階段的答案 printf The future will be better tomorrow.\n0 1 1 2 3 5\n input.txt # gdb 加載, 先在所有爆炸點和各階段入口下斷點 gdb -q bombgdb 里最值的幾條命令建議直接抄進筆記命令用途使用時機break explode_bomb在爆炸函數(shù)下斷點每個階段都留著防止程序直接退出break phase_1在階段入口下斷點定位當前階段的參數(shù)準備run input.txt帶輸入文件運行避免反復手輸x/s 0x804a204按字符串查看內存階段 1 直接讀比較串x/6dw $esp按 6 個十進制字查看棧階段 2 看讀入的數(shù)字info registers查寄存器快照判斷當前走到哪個分支si/ni單步進入 / 單步跳過跟 call 進子函數(shù)時用si第二件事是理解斷點策略。原文的做法是在每個階段的開始代碼前和explode_bomb前都下斷點這個習慣很值前者讓你在輸入被解析之前就停下能看清棧上原始數(shù)據(jù)后者保證炸彈不會真的炸掉進程停在爆炸前你可以回頭檢查寄存器。少了后面這個斷點一次輸錯就得重跑調試節(jié)奏全亂。第三件事是先把main讀完。main里能看出每個階段讀幾行、調用順序、以及隱藏階段的觸發(fā)條件。原文階段 1 的分析就是靠main里read_line的返回值落點反推出%eax里存的是用戶輸入再去和0x804a204比較。這個「從調用者看被調用者」的順序比一上來就硬讀phase_1快得多。3.2 六個階段的推進順序與判斷依據(jù)六個階段的難度是遞增的但真正的分水嶺在階段 4前面三個階段靠靜態(tài)讀匯編就能拿下后面三個必須動態(tài)跟。階段 1 是字符串比較匯編里是一個call strings_not_equal兩個參數(shù)分別來自%eax用戶輸入和一個立即數(shù)地址。判斷依據(jù)很直接看movl $0x804a204, 0x4(%esp)這類指令立即數(shù)就是被比較串的地址x/s一讀就出來。原文讀出的結果是The future will be better tomorrow.這是一個完整句子長度超過一般猜測范圍說明這題就是考「會不會用調試器讀內存」。階段 2 是循環(huán)。先用read_six_numbers這個函數(shù)名判斷輸入是 6 個整數(shù)再看循環(huán)體里的比較邏輯。原文的分析路徑是先確認前兩個數(shù)必須是 0 和 1再從循環(huán)體的加法推出「后一個數(shù)是前兩個數(shù)之和」得到0 1 1 2 3 5。這里的關鍵判斷是循環(huán)邊界cmp后面跟的立即數(shù)決定循環(huán)幾輪jle和jl的差別決定最后一輪算不算讀錯一個跳轉就往錯誤方向推。階段 3 是條件分支加跳轉表。這題最容易卡的地方是jmp *0x804a260(,%eax,4)這種間接跳轉它按第一個輸入的值去跳轉表里取地址。判斷依據(jù)是先用cmpl $0x7, 0x28(%esp)和ja explode_bomb確認第一個輸入必須小于 7再假設它是 0順著跳轉表落到某個分支讀該分支里的mov $0x76, %eax和cmpl $0x104, 0x2c(%esp)得到字符v和數(shù)字 260。原文用 0 作為第一個輸入是合理的試探策略跳轉表里 0 號分支通常是第一條地址最好算。階段 4 開始涉及遞歸調用和棧。這題的輸入是兩個整數(shù)其中一個會作為遞歸函數(shù)的參數(shù)。判斷依據(jù)分兩步先用x/s查格式串確認輸入類型和個數(shù)再跟call進遞歸函數(shù)看遞歸出口條件。遞歸題的坑在于出口條件往往依賴參數(shù)的取值范圍輸入稍大就會棧溢出或者走到爆炸分支所以要用 gdb 在遞歸函數(shù)入口反復continue看參數(shù)怎么收斂。階段 5 是指針和字符串。這題的輸入通常是一個字符串程序會拿它的每個字符去做下標從一個字符表里取值。判斷依據(jù)是先找到字符表的基地址再看下標運算的掩碼常見是 0xf反推出每個位置需要什么字符。原文沒展開但這類題的通用手法是在循環(huán)體里下斷點每次迭代打印當前下標和取到的值一輪下來就能把映射關系摸清。階段 6 是鏈表加結構體。這題最麻煩因為要同時滿足「鏈表按某個字段排序」和「節(jié)點順序符合輸入」兩個條件。判斷依據(jù)是先找到鏈表頭節(jié)點地址用x/3dw按三字一組把整條鏈打出來看清每個節(jié)點的值和序號再按排序要求反推輸入順序。原文目錄里把這一階段列為「鏈表/指針/結構」說明它同時考數(shù)據(jù)結構和指針運算。3.3 隱藏階段字符串拼接觸發(fā)與二次分析隱藏階段不是每個炸彈都有觸發(fā)條件寫在第 4 階段的解之后在正確解后面再附加一段特定字符串程序檢測到就把隱藏階段拉起來。原文明確寫了這個機制所以拆完階段 4 千萬別急著往下走先看phase_4尾部有沒有strings_not_equal之類的比較有就說明有隱藏入口。分析方法和前面一樣但要注意隱藏階段的入口函數(shù)不在main的調用序列里grep phase_未必能搜到。我的做法是先objdump全文搜explode_bomb的調用點把所有引用爆炸函數(shù)的位置列出來再逐個對照看哪個不在已拆階段里那個就是隱藏階段。這一步用grep -n explode_bomb asm.txt一行命令就能定位比到處翻匯編快。需要說明的是拆彈的具體答案和二進制密切相關不同環(huán)境編譯出來的炸彈地址和常量都不同所以這份報告的價值在分析路徑而不在答案本身。照抄答案最容易出問題因為地址一變全盤失效把「怎么找地址、怎么設斷點、怎么讀內存」這套方法學會換一個炸彈照樣能拆。4. 棧幀與返回地址緩沖區(qū)溢出實驗的偏移計算和邊界控制第三個實驗是緩沖區(qū)溢出目錄里有但原文沒展開內容。這一實驗的教學價值在于把「函數(shù)調用時棧上發(fā)生了什么」從概念變成可測量的數(shù)字buf的起始地址在哪、返回地址在哪個偏移、覆蓋多少字節(jié)才能改到它。下面的做法都在本地教學二進制上完成編譯時關閉棧保護目的是觀察棧布局不是面向真實目標的手法。4.1 棧幀布局從 buf 到返回地址差多少字節(jié)x86 下典型的函數(shù)棧幀布局可以用一張表描述清楚這張表是所有偏移計算的依據(jù)相對位置內容與溢出的關系%ebp 8起第一個參數(shù)、第二個參數(shù)一般不動%ebp 4返回地址覆蓋目標決定 ret 跳去哪%ebp調用者保存的舊%ebp覆蓋它會污染上一層棧幀%ebp - 4起局部變量、保存的寄存器中間可能有 canary%ebp - Nbuf起始地址讀入的起點N 由sub指令決定判斷 N 的方法在反匯編里函數(shù)開頭的sub $0xNN, %esp就是給局部變量騰的空間buf一般從%esp或者%ebp - 偏移開始具體看lea指令把哪個地址傳給了讀入函數(shù)。原文里讀入函數(shù)的第一個參數(shù)就是buf地址所以只要在調用讀入函數(shù)之前停一下print $eax或者p/x $esp就能拿到實測值不用純靠讀匯編推。這里有個容易踩的坑編譯器可能插入 canary、可能對齊棧到 16 字節(jié)、可能把buf放在%ebp下方任意位置所以「緩沖區(qū)大小 32 字節(jié)返回地址就在偏移 324」這種算法經常差幾個字節(jié)。血淚經驗是永遠用實測偏移不要用結構體大小加 4 硬算。4.2 用 gdb 量偏移三步定位 buf 起點和返回地址量偏移的流程固定三步每步都用一個 gdb 命令落地# 1. 在讀入函數(shù)調用處下斷點, 通常是 gets / read / fgets gdb -q ./vuln (gdb) break *0x080484a0 # 地址取自 objdump 里 call 讀入函數(shù)那條指令 (gdb) run payload.txt # 2. 斷下后拿 buf 起始地址, 兩種等價寫法 (gdb) p/x $eax # 讀入函數(shù)第一個參數(shù)常放在 eax 或棧上 (gdb) p/x $esp # 或者直接看當前棧頂 # 3. 拿返回地址位置, 用 info frame 一次看全 (gdb) info frame (gdb) p/x $ebp命令說明break *地址是硬編碼地址下斷點比break 函數(shù)名更準因為同名函數(shù)可能有多個info frame會直接打印saved eip的地址這個值減去buf起始地址就是精確偏移比數(shù)匯編靠譜得多。p/x用十六進制打印避免地址以十進制顯示時看錯位。我一般會把這三個值抄在紙上buf起始、%ebp、saved eip后面構造 payload 全用這三個數(shù)。偏移拿到之后返回地址本身的值也要確認因為它決定了覆蓋后跳去哪。教學二進制通常會提供一個touch之類的函數(shù)反匯編里搜一下就能拿到入口地址這個地址就是 payload 末尾要填的 4 字節(jié)。4.3 構造 payload小端序、對齊與不可打印字節(jié)有了偏移和目標地址payload 就是「填充字節(jié) 目標地址」的拼接。用 Python 寫比手搓十六進制安全因為小端序和長度對齊都交給庫處理import struct, sys offset 44 # 實測偏移: buf 起點到 saved eip 的字節(jié)數(shù) target 0x08048456 # 目標函數(shù)入口, 取自 objdump # 小端序打包 4 字節(jié)地址, I 表示小端無符號 32 位 payload bA * offset struct.pack(I, target) # 寫到文件, 注意用二進制模式, 避免換行符被改寫 with open(payload.txt, wb) as f: f.write(payload b\n) sys.stdout.write(payload length %d\n % len(payload))邏輯說明bA * offset先精確填滿buf到返回地址之間的所有字節(jié)多一個少一個都會讓返回地址錯位struct.pack(I, target)把地址按小端序寫成 4 字節(jié)x86 是小端機器寫成大端就跳到錯誤地址。參數(shù)說明offset必須用上一步實測值target必須是目標函數(shù)的第一條指令地址取函數(shù)中間某條指令也能跳但可能缺棧幀準備導致崩潰。文件末尾補一個換行是有意的很多讀入函數(shù)靠換行結束輸入不補會一直等。注意如果目標地址或偏移里含0x0a換行、0x20空格這類字節(jié)某些讀入函數(shù)會提前截斷。遇到這種情況要么換目標地址跳到目標函數(shù)的下一條指令要么換用二進制安全的讀入方式。實驗做完之后值得順手看一眼防護機制的效果同樣的代碼加-fstack-protector-strong重新編譯再用同樣的 payload 跑一遍程序會在__stack_chk_fail處中止。這一步比單純「溢出成功」更有價值因為它把「為什么現(xiàn)代編譯器默認開棧保護」從一句話變成了一個可復現(xiàn)的現(xiàn)象。再開-z noexecstack和系統(tǒng)級地址隨機化同一條 payload 會連續(xù)失敗這幾個開關就是緩沖區(qū)溢出從「能打」變成「難打」的全部原因。5. 避坑記錄從 dlc 報錯到炸彈爆炸的五個現(xiàn)場這三個實驗的錯誤信息都不算友好dlc只報行號和規(guī)則名炸彈只打印BOOM!!!溢出實驗直接段錯誤。下面五條是我和身邊人反復踩過的按「現(xiàn)象 → 原因 → 解決」寫遇到了直接對號入座。5.1 dlc 報「bad expression」但代碼看著沒錯現(xiàn)象./dlc bits.c報某行 bad expression人眼檢查那行只有一個x 0xff。原因常量超范圍0xff是 255 沒問題但很多人順手寫0xffffff00這種掩碼超過 255 就被判非法。解決用移位和取反造大常量~0xff或(131)31 8既合法又不增加太多算子。5.2 btest 全過但提交后算子超標現(xiàn)象本地./btest13 個函數(shù)全綠助教腳本判 0 分。原因只跑了功能測試沒跑規(guī)則測試btest不檢查Max ops算子數(shù)和合法算子只有dlc管。解決把./dlc -e bits.c加進提交前的固定流程輸出里每個函數(shù)的算子數(shù)都要低于上限留 12 個余量防止不同版本dlc計數(shù)差異。5.3 炸彈階段 2 輸入對了還是炸現(xiàn)象按斐波那契推出來的 6 個數(shù)字輸進去程序仍然BOOM!!!。原因讀入函數(shù)對分隔符敏感有的是空格分隔有的是逗號還有的要求一行內恰好 6 個數(shù)字不能多不能少。解決先用x/s查read_six_numbers里的格式串確認分隔符再在read_six_numbers返回處下斷點x/6dw看棧上實際讀到了幾個數(shù)讀少了就是格式不對。5.4 gdb 斷點打在 phase 函數(shù)上但程序先炸了現(xiàn)象break phase_3之后run沒停到斷點直接輸出爆炸信息退出。原因前面某個階段的輸入是錯的程序在階段 2 就炸了根本走不到階段 3也可能是斷點地址被 PIE 重定位改變地址對不上。解決先break explode_bomb兜底再逐個階段用continue推進看停在哪一步同時用info files確認二進制是不是 PIE是的話改用break phase_3這種符號斷點而不是硬編碼地址。5.5 溢出 payload 長度對了但跳轉地址錯位現(xiàn)象偏移算得和info frame一致payload 長度也對但ret之后跳到非法地址。原因目標地址里含有0x0a被gets之類的行讀入函數(shù)當成換行提前截斷實際寫入的字節(jié)數(shù)比預期少。解決先x/8bx看棧上實際寫入的字節(jié)確認有沒有被截斷再換目標地址跳到目標函數(shù)里不含0x0a的那條指令上一般往下挪一兩條就能繞開。順帶養(yǎng)成習慣payload 生成腳本里加一行打印長度和十六進制內容出問題時省一半排查時間。6. 進階把三個實驗串成一條自動驗證鏈單次跑通和穩(wěn)定復現(xiàn)是兩件事。我在帶人做這套實驗時發(fā)現(xiàn)絕大多數(shù)「昨天還對今天就不對」的情況都是因為驗證步驟靠手敲中間漏了一步。把三個實驗的驗證串成一條鏈每次改完代碼跑一遍比事后對著報錯猜要省時間得多。具體做法是寫一個入口腳本把規(guī)則檢查、功能測試、反匯編、payload 生成四件事固定下來#!/bin/bash # 一次跑完三個實驗的驗證步驟, 任一步失敗就退出 set -e echo [1/4] bits.c 規(guī)則檢查 ./dlc -e bits.c echo [2/4] bits.c 功能測試 make -s btest ./btest echo [3/4] 炸彈反匯編刷新 objdump -d bomb asm.txt grep -c explode_bomb asm.txt echo [4/4] 溢出 payload 重建 python3 gen_payload.py ls -l payload.txt腳本說明set -e讓任一步失敗就停避免帶著錯誤往下跑make -s靜默編譯輸出干凈grep -c順手統(tǒng)計爆炸函數(shù)引用數(shù)個數(shù)變了往往意味著二進制換過之前的斷點地址全部作廢最后一步重建 payload 并打印文件大小長度異常一眼能看出來。這個腳本不長但它把「我改了什么、哪一步開始不對」變成了可定位的信息。另外一個值得堅持的習慣是每次實驗開始前先把當前二進制的關鍵地址抄進一個文本文件包括六個階段的入口、explode_bomb、字符串表基址、buf偏移、目標函數(shù)地址。這份清單看起來笨但換環(huán)境重編一次二進制之后所有硬編碼地址都會變有清單就能逐條對照更新沒有就只能從頭再找一遍。從那以后我每次動這類底層實驗都強制先跑一遍dlc -e和info frame把算子數(shù)和棧偏移這兩個數(shù)字記下來再寫代碼翻車次數(shù)明顯少了。希望幫到你。本文還有配套的精品資源點擊獲取 計算機系統(tǒng)基礎實驗：位操作、Binary Bombs與緩沖區(qū)溢出
簡介這份華中科技大學計算機系統(tǒng)基礎實驗報告面向學習計算機系統(tǒng)導論、數(shù)據(jù)表示與底層編程的高校學生及自學者圍繞整數(shù)與浮點數(shù)編碼、位操作、補碼運算、Binary Bombs拆解和緩沖區(qū)溢出攻擊等實驗展開可用于課程實驗復盤、期末復習與調試思路梳理。壓縮包共1個docx文檔約1.6MB按實驗報告體例收錄實驗概述、實驗內容、設計源碼與總結便于對照C語言函數(shù)實現(xiàn)和Linux環(huán)境下的操作要點。目前已有1388人學習下載在同類課程資料中具有一定參考價值。文檔具體呈現(xiàn)lsbZero、byteNot、byteXor、logicalAnd、rotateLeft等位運算題目的實現(xiàn)思路也記錄Binary Bombs逐階段分析與緩沖區(qū)溢出檢測的實踐過程能幫助讀者理解計算機內部如何存儲和處理信息并積累排錯與問題拆解經驗適合需要補齊底層實驗短板、對照源碼查漏補缺的讀者。1. 從一份實驗報告說起三個實驗正好卡在機器級表示的三道坎上翻這份計算機系統(tǒng)基礎實驗報告最先吸引我的不是目錄而是它把最容易「原理看得懂、代碼寫不出」的三塊內容串成了一條線數(shù)據(jù)表示、Binary Bombs、緩沖區(qū)溢出。報告里既有bits.c里 13 個函數(shù)的完整源碼和算子預算也有炸彈六個階段的 gdb 跟蹤記錄還有棧幀偏移的實測過程。它適合兩類人正在做同類實驗、被 Max ops 卡住的同學以及想重新過一遍機器級表示、又不想從教材第一章啃起的開發(fā)者。下面按「怎么跑起來、參數(shù)怎么改、哪里會出問題」的順序拆。2. bits.c 位操作13 個函數(shù)的算子預算怎么分配才不超標數(shù)據(jù)表示這一實驗的難點不在算法思想而在約束。13 個函數(shù)分成位操作、補碼運算、浮點數(shù)三類每類都有Max ops上限和Rating難度分超過上限直接判錯哪怕結果對。我在下面先把約束講清再逐個拆寫法最后給出驗證流程。2.1 三條硬約束合法算子、Max ops、常量范圍dlc是這套實驗的規(guī)則檢查器它不運行你的代碼只做靜態(tài)掃描。它檢查的東西比大多數(shù)人以為的多算子白名單。每個函數(shù)頭注釋里都寫了Legal ops比如lsbZero只允許! ~ ^ | 寫了-、*、/、%就報錯。算子計數(shù)。Max ops統(tǒng)計的是所有出現(xiàn)的運算符實例一個記 1 個移位記 1 個。注意是「實例」x y z算 2 個。常量范圍。整數(shù)常量一般限制在 0255所以0xff合法0xffffffff不合法得用~0或(131)31造全 1 掩碼?？刂屏飨拗?。位操作和補碼類函數(shù)禁止if、while、for浮點兩題反而允許因為它們是unsigned函數(shù)。下表把 13 個函數(shù)的預算和核心思路對齊寫代碼前先看這張表比上來就寫更省時間函數(shù)類別RatingMax ops核心思路lsbZero位操作15右移丟掉最低位再左移補 0byteNot位操作26造出第 n 字節(jié)為 0xff 的掩碼異或byteXor位操作220右移取出雙字第 n 字節(jié)異或后邏輯化logicalAnd位操作320!!兩次把任意非零壓成 1再相與logicalOr位操作320同上改成相或rotateLeft位操作325造低 n 位全 1 的掩碼接住右移搬過來的位parityCheck位操作420折疊異或把 32 位壓到 1 位mul2OK補碼220比較符號位與次高位是否一致mult3div2補碼212乘 3 后處理向零取整的舍入subOK補碼320同號相減不溢出異號看結果符號absVal補碼410用算術右移得到全 0 或全 1 掩碼float_abs浮點210清符號位NaN 例外返回原值float_f2i浮點430拆分階碼按 127/150 分界處理提示先跑./dlc -e bits.c看每個函數(shù)實際用了幾個算子比肉眼數(shù)準。-e會打印每個函數(shù)的算子計數(shù)超標的函數(shù)會單獨標注。2.2 位操作與補碼從 lsbZero 到 absVal 的寫法拆解先說最簡單的lsbZero。把最低有效位清 0直覺寫法是x ~1但~1是0xfffffffe常量超標于是改用移位右移一位再左移一位。這里有個容易忽略的細節(jié)int的右移是算術右移負數(shù)右移會補符號位但緊接著左移一位后最低位仍然是 0符號位也回來了所以正負都不受影響。byteNot是這套代碼里比較有代表性的寫法用 0xff 左移 8n 位造掩碼/* * byteNot - 把雙字 x 的第 n 個字節(jié)按位取反 * n 取 0(最低字節(jié)) 到 3(最高字節(jié)) * 例: byteNot(0x12345678, 1) 0x1234A978 */ int byteNot(int x, int n) { int y 0xff; /* 單字節(jié)全 1 掩碼 */ n n 3; /* 字節(jié)序號轉位偏移1 字節(jié) 8 位 */ y y n; /* 掩碼平移到目標字節(jié)位置 */ x x ^ y; /* 異或 1 即取反其它字節(jié)異或 0 不變 */ return x; }邏輯說明異或的性質是「與 1 異或取反與 0 異或保持」所以只要造出一個只有目標字節(jié)為全 1 的掩碼一次異或就能完成局部取反。參數(shù)說明n是字節(jié)序號必須先左移 3 位換算成位偏移這是所有字節(jié)級操作的固定套路0xff是老式 C 寫法等價于255寫成十進制同樣合法只是可讀性差一點。byteXor是同一套路的反向用法先右移把目標字節(jié)挪到最低位再和0xff相與切干凈最后異或取邏輯值。這里的關鍵點是 0xff必須在異或之前因為算術右移會把符號位鋪滿高位不切干凈的話兩個數(shù)的高位污染會直接算進結果里。最后用!!把任意非零值壓成 1這個技巧在整套代碼里反復出現(xiàn)是繞開if的標準手段。rotateLeft是位操作里最容易寫錯的一題。循環(huán)左移的本質是「左移 n 位丟掉的高位要補到低位去」所以右移32-n位把丟掉的位搬回來再用掩碼只保留低 n 位/* * rotateLeft - 把 x 循環(huán)左移 n 位, 0 n 31 * 例: rotateLeft(0x87654321, 4) 0x76543218 */ int rotateLeft(int x, int n) { int z; /* (131)31 得到全 1, 左移 n 位后低 n 位為 0, 取反得低 n 位全 1 */ z ~(((1 31) 31) n); /* 32 (~n 1) 即 32 - n, 用補碼加法避開減法運算符 */ x ((x (32 (~n 1))) z) (x n); return x; }邏輯說明x n負責把主體左移空出來的低 n 位是 0x (32-n)把溢出的高 n 位搬到最低位但高位會帶上符號位的臟數(shù)據(jù)所以必須 z只留低 n 位兩段沒有重疊位用加法或按位或結果一樣。參數(shù)說明32 (~n 1)就是32 - n因為~n 1是n的相反數(shù)補碼這么寫純粹是為了避開減法運算符算子數(shù)也只多花 2 個。掩碼z的構造用了(131)31這是造全 1 常量的通用寫法比硬寫0xffffffff安全。parityCheck判斷 1 的個數(shù)奇偶思路是折疊把高 16 位和低 16 位異或問題規(guī)模減半重復 5 次后所有位的奇偶性匯總到最低位附近。這套代碼取巧在最后一步用y 31直接取符號位而不是繼續(xù) 1省了一個算子。需要注意的是這個寫法依賴算術右移對負數(shù)的行為在 x86-64 的 gcc 默認設置下沒問題換成-funsigned-char之類的極端配置要重新驗證。補碼類里absVal是最能體現(xiàn)「掩碼思維」的一題/* * absVal - 求 x 的絕對值, -TMax x TMax * 例: absVal(-1) 1 */ int absVal(int x) { int y x 31; /* x 為負則 y 全 1, 否則全 0 */ x (y (~x 1)) ((~y) x); /* 負則取 ~x1, 否則保持 x */ return x; }邏輯說明x 31是一個不花錢的分支負數(shù)得全 1、非負得全 0y (~x1)在負數(shù)時生效~y x在非負時生效兩段互斥所以相加就是選擇。參數(shù)說明~x 1是求相反數(shù)的標準寫法等價于-x省一個算子。mult3div2和subOK是同類思路前者要額外處理「負數(shù)右移向負無窮取整」和「C 語言除法向零取整」的差異后者靠「同號相減必不溢出」這條性質判斷。2.3 浮點兩題float_abs 與 float_f2i 的 127/150 分界浮點題允許用if和while所以重點從「省算子」變成「把 IEEE 754 的位布局記準」。單精度格式是 1 位符號、8 位階碼、23 位尾數(shù)階碼偏置值是 127尾數(shù)隱含一個前導 1這三點決定了float_f2i的全部邏輯。原文里float_f2i用 150 做分界這個 150 不是隨便來的真實數(shù)值等于尾數(shù)乘以2^(階碼-127-23)把隱含位移進去之后指數(shù)就變成階碼 - 150所以 150 就是「小數(shù)點落在尾數(shù)最低位」的臨界階碼。/* * float_f2i - 把單精度浮點位模式轉成 int * 超出范圍(含 NaN/無窮)統(tǒng)一返回 0x80000000 */ int float_f2i(unsigned uf) { unsigned num 0x80000000; /* 補上隱含的前導 1, 得到 24 位有效數(shù)字 */ int x (uf 0x007fffff) ^ 0x00800000; int order (uf 0x7f800000) 23; /* 取 8 位階碼 */ if (order 158) return num; /* 指數(shù)過大, 必溢出 */ if (order 127) return 0; /* 絕對值小于 1, 截斷為 0 */ else if (((uf 31) 1) 1) { /* 負數(shù)分支 */ if (order 150) return ~(x (order - 150)) 1; else return ~(x (150 - order)) 1; } else { /* 正數(shù)分支 */ if (order 150) return x (order - 150); else return x (150 - order); } }邏輯說明(uf 0x007fffff) ^ 0x00800000是在尾數(shù)最高位補上隱含的 1異或和按位或結果相同寫成異或只是沿用了原文風格。階碼大于 150 說明小數(shù)點要往右移尾數(shù)左移小于 150 說明要往左移尾數(shù)右移右移本身實現(xiàn)的就是截斷正好對上 C 語言整數(shù)轉換向零取整的語義。負數(shù)分支多一步取相反數(shù)因為補碼負數(shù)右移是向下取整與向零取整差 1。參數(shù)說明order 158是溢出上界order 127直接歸零這兩個邊界值對應2^31和1.0改動任何一個都會讓邊界用例掛掉。2.4 驗證流程dlc 查規(guī)則、btest 查結果、driver 查邊界寫完不是結束這套實驗的驗證鏈有三層缺一層就可能出現(xiàn)「自己測全對、交上去全錯」# 1. 規(guī)則檢查, -e 順便打印每個函數(shù)的算子數(shù) ./dlc -e bits.c # 2. 全量測試, 逐函數(shù)跑標準用例 make btest ./btest # 3. 單函數(shù)調試, -f 指定函數(shù)名 ./btest -f float_f2i # 4. 指定輸入驗證邊界值, 后面跟的是函數(shù)參數(shù) ./btest -f float_f2i -1 0x4b000000命令說明./dlc -e bits.c只看靜態(tài)規(guī)則不保證邏輯對./btest才跑用例輸出里每個函數(shù)一行錯的會打印期望值和實際值-1表示給函數(shù)傳一個參數(shù)十六進制參數(shù)直接寫0x前綴。我一般習慣先把dlc跑通再跑btest因為算子超標時btest的輸出會混著規(guī)則錯誤排查起來更亂。原文里實驗結果是 13 個函數(shù)全部通過說明這套寫法在標準用例下是站得住的。3. Binary Bombs 拆彈用 gdb 斷點和 objdump 反匯編逐階段推進第二個實驗是拆二進制炸彈一個 Linux 可執(zhí)行程序六個階段各要一個正確輸入輸錯就打印BOOM!!!并退出。這一實驗真正考的是「讀匯編 用調試器驗證假設」不是靠猜。下面按準備、推進、隱藏階段三塊講每個階段給出判斷依據(jù)而不是直接給答案因為不同炸彈的答案本來就不一樣。3.1 拆彈前的三件準備反匯編、斷點、輸入文件第一件事是把二進制攤開成可讀的匯編同時準備好輸入文件避免每次運行都手敲# 反匯編到文件, 后面全程以這個文件為主戰(zhàn)場 objdump -d bomb asm.txt # 用文本工具定位各階段入口 grep -n phase_ asm.txt # 準備輸入文件, 一行一個階段的答案 printf The future will be better tomorrow.\n0 1 1 2 3 5\n input.txt # gdb 加載, 先在所有爆炸點和各階段入口下斷點 gdb -q bombgdb 里最值的幾條命令建議直接抄進筆記命令用途使用時機break explode_bomb在爆炸函數(shù)下斷點每個階段都留著防止程序直接退出break phase_1在階段入口下斷點定位當前階段的參數(shù)準備run input.txt帶輸入文件運行避免反復手輸x/s 0x804a204按字符串查看內存階段 1 直接讀比較串x/6dw $esp按 6 個十進制字查看棧階段 2 看讀入的數(shù)字info registers查寄存器快照判斷當前走到哪個分支si/ni單步進入 / 單步跳過跟 call 進子函數(shù)時用si第二件事是理解斷點策略。原文的做法是在每個階段的開始代碼前和explode_bomb前都下斷點這個習慣很值前者讓你在輸入被解析之前就停下能看清棧上原始數(shù)據(jù)后者保證炸彈不會真的炸掉進程停在爆炸前你可以回頭檢查寄存器。少了后面這個斷點一次輸錯就得重跑調試節(jié)奏全亂。第三件事是先把main讀完。main里能看出每個階段讀幾行、調用順序、以及隱藏階段的觸發(fā)條件。原文階段 1 的分析就是靠main里read_line的返回值落點反推出%eax里存的是用戶輸入再去和0x804a204比較。這個「從調用者看被調用者」的順序比一上來就硬讀phase_1快得多。3.2 六個階段的推進順序與判斷依據(jù)六個階段的難度是遞增的但真正的分水嶺在階段 4前面三個階段靠靜態(tài)讀匯編就能拿下后面三個必須動態(tài)跟。階段 1 是字符串比較匯編里是一個call strings_not_equal兩個參數(shù)分別來自%eax用戶輸入和一個立即數(shù)地址。判斷依據(jù)很直接看movl $0x804a204, 0x4(%esp)這類指令立即數(shù)就是被比較串的地址x/s一讀就出來。原文讀出的結果是The future will be better tomorrow.這是一個完整句子長度超過一般猜測范圍說明這題就是考「會不會用調試器讀內存」。階段 2 是循環(huán)。先用read_six_numbers這個函數(shù)名判斷輸入是 6 個整數(shù)再看循環(huán)體里的比較邏輯。原文的分析路徑是先確認前兩個數(shù)必須是 0 和 1再從循環(huán)體的加法推出「后一個數(shù)是前兩個數(shù)之和」得到0 1 1 2 3 5。這里的關鍵判斷是循環(huán)邊界cmp后面跟的立即數(shù)決定循環(huán)幾輪jle和jl的差別決定最后一輪算不算讀錯一個跳轉就往錯誤方向推。階段 3 是條件分支加跳轉表。這題最容易卡的地方是jmp *0x804a260(,%eax,4)這種間接跳轉它按第一個輸入的值去跳轉表里取地址。判斷依據(jù)是先用cmpl $0x7, 0x28(%esp)和ja explode_bomb確認第一個輸入必須小于 7再假設它是 0順著跳轉表落到某個分支讀該分支里的mov $0x76, %eax和cmpl $0x104, 0x2c(%esp)得到字符v和數(shù)字 260。原文用 0 作為第一個輸入是合理的試探策略跳轉表里 0 號分支通常是第一條地址最好算。階段 4 開始涉及遞歸調用和棧。這題的輸入是兩個整數(shù)其中一個會作為遞歸函數(shù)的參數(shù)。判斷依據(jù)分兩步先用x/s查格式串確認輸入類型和個數(shù)再跟call進遞歸函數(shù)看遞歸出口條件。遞歸題的坑在于出口條件往往依賴參數(shù)的取值范圍輸入稍大就會棧溢出或者走到爆炸分支所以要用 gdb 在遞歸函數(shù)入口反復continue看參數(shù)怎么收斂。階段 5 是指針和字符串。這題的輸入通常是一個字符串程序會拿它的每個字符去做下標從一個字符表里取值。判斷依據(jù)是先找到字符表的基地址再看下標運算的掩碼常見是 0xf反推出每個位置需要什么字符。原文沒展開但這類題的通用手法是在循環(huán)體里下斷點每次迭代打印當前下標和取到的值一輪下來就能把映射關系摸清。階段 6 是鏈表加結構體。這題最麻煩因為要同時滿足「鏈表按某個字段排序」和「節(jié)點順序符合輸入」兩個條件。判斷依據(jù)是先找到鏈表頭節(jié)點地址用x/3dw按三字一組把整條鏈打出來看清每個節(jié)點的值和序號再按排序要求反推輸入順序。原文目錄里把這一階段列為「鏈表/指針/結構」說明它同時考數(shù)據(jù)結構和指針運算。3.3 隱藏階段字符串拼接觸發(fā)與二次分析隱藏階段不是每個炸彈都有觸發(fā)條件寫在第 4 階段的解之后在正確解后面再附加一段特定字符串程序檢測到就把隱藏階段拉起來。原文明確寫了這個機制所以拆完階段 4 千萬別急著往下走先看phase_4尾部有沒有strings_not_equal之類的比較有就說明有隱藏入口。分析方法和前面一樣但要注意隱藏階段的入口函數(shù)不在main的調用序列里grep phase_未必能搜到。我的做法是先objdump全文搜explode_bomb的調用點把所有引用爆炸函數(shù)的位置列出來再逐個對照看哪個不在已拆階段里那個就是隱藏階段。這一步用grep -n explode_bomb asm.txt一行命令就能定位比到處翻匯編快。需要說明的是拆彈的具體答案和二進制密切相關不同環(huán)境編譯出來的炸彈地址和常量都不同所以這份報告的價值在分析路徑而不在答案本身。照抄答案最容易出問題因為地址一變全盤失效把「怎么找地址、怎么設斷點、怎么讀內存」這套方法學會換一個炸彈照樣能拆。4. 棧幀與返回地址緩沖區(qū)溢出實驗的偏移計算和邊界控制第三個實驗是緩沖區(qū)溢出目錄里有但原文沒展開內容。這一實驗的教學價值在于把「函數(shù)調用時棧上發(fā)生了什么」從概念變成可測量的數(shù)字buf的起始地址在哪、返回地址在哪個偏移、覆蓋多少字節(jié)才能改到它。下面的做法都在本地教學二進制上完成編譯時關閉棧保護目的是觀察棧布局不是面向真實目標的手法。4.1 棧幀布局從 buf 到返回地址差多少字節(jié)x86 下典型的函數(shù)棧幀布局可以用一張表描述清楚這張表是所有偏移計算的依據(jù)相對位置內容與溢出的關系%ebp 8起第一個參數(shù)、第二個參數(shù)一般不動%ebp 4返回地址覆蓋目標決定 ret 跳去哪%ebp調用者保存的舊%ebp覆蓋它會污染上一層棧幀%ebp - 4起局部變量、保存的寄存器中間可能有 canary%ebp - Nbuf起始地址讀入的起點N 由sub指令決定判斷 N 的方法在反匯編里函數(shù)開頭的sub $0xNN, %esp就是給局部變量騰的空間buf一般從%esp或者%ebp - 偏移開始具體看lea指令把哪個地址傳給了讀入函數(shù)。原文里讀入函數(shù)的第一個參數(shù)就是buf地址所以只要在調用讀入函數(shù)之前停一下print $eax或者p/x $esp就能拿到實測值不用純靠讀匯編推。這里有個容易踩的坑編譯器可能插入 canary、可能對齊棧到 16 字節(jié)、可能把buf放在%ebp下方任意位置所以「緩沖區(qū)大小 32 字節(jié)返回地址就在偏移 324」這種算法經常差幾個字節(jié)。血淚經驗是永遠用實測偏移不要用結構體大小加 4 硬算。4.2 用 gdb 量偏移三步定位 buf 起點和返回地址量偏移的流程固定三步每步都用一個 gdb 命令落地# 1. 在讀入函數(shù)調用處下斷點, 通常是 gets / read / fgets gdb -q ./vuln (gdb) break *0x080484a0 # 地址取自 objdump 里 call 讀入函數(shù)那條指令 (gdb) run payload.txt # 2. 斷下后拿 buf 起始地址, 兩種等價寫法 (gdb) p/x $eax # 讀入函數(shù)第一個參數(shù)常放在 eax 或棧上 (gdb) p/x $esp # 或者直接看當前棧頂 # 3. 拿返回地址位置, 用 info frame 一次看全 (gdb) info frame (gdb) p/x $ebp命令說明break *地址是硬編碼地址下斷點比break 函數(shù)名更準因為同名函數(shù)可能有多個info frame會直接打印saved eip的地址這個值減去buf起始地址就是精確偏移比數(shù)匯編靠譜得多。p/x用十六進制打印避免地址以十進制顯示時看錯位。我一般會把這三個值抄在紙上buf起始、%ebp、saved eip后面構造 payload 全用這三個數(shù)。偏移拿到之后返回地址本身的值也要確認因為它決定了覆蓋后跳去哪。教學二進制通常會提供一個touch之類的函數(shù)反匯編里搜一下就能拿到入口地址這個地址就是 payload 末尾要填的 4 字節(jié)。4.3 構造 payload小端序、對齊與不可打印字節(jié)有了偏移和目標地址payload 就是「填充字節(jié) 目標地址」的拼接。用 Python 寫比手搓十六進制安全因為小端序和長度對齊都交給庫處理import struct, sys offset 44 # 實測偏移: buf 起點到 saved eip 的字節(jié)數(shù) target 0x08048456 # 目標函數(shù)入口, 取自 objdump # 小端序打包 4 字節(jié)地址, I 表示小端無符號 32 位 payload bA * offset struct.pack(I, target) # 寫到文件, 注意用二進制模式, 避免換行符被改寫 with open(payload.txt, wb) as f: f.write(payload b\n) sys.stdout.write(payload length %d\n % len(payload))邏輯說明bA * offset先精確填滿buf到返回地址之間的所有字節(jié)多一個少一個都會讓返回地址錯位struct.pack(I, target)把地址按小端序寫成 4 字節(jié)x86 是小端機器寫成大端就跳到錯誤地址。參數(shù)說明offset必須用上一步實測值target必須是目標函數(shù)的第一條指令地址取函數(shù)中間某條指令也能跳但可能缺棧幀準備導致崩潰。文件末尾補一個換行是有意的很多讀入函數(shù)靠換行結束輸入不補會一直等。注意如果目標地址或偏移里含0x0a換行、0x20空格這類字節(jié)某些讀入函數(shù)會提前截斷。遇到這種情況要么換目標地址跳到目標函數(shù)的下一條指令要么換用二進制安全的讀入方式。實驗做完之后值得順手看一眼防護機制的效果同樣的代碼加-fstack-protector-strong重新編譯再用同樣的 payload 跑一遍程序會在__stack_chk_fail處中止。這一步比單純「溢出成功」更有價值因為它把「為什么現(xiàn)代編譯器默認開棧保護」從一句話變成了一個可復現(xiàn)的現(xiàn)象。再開-z noexecstack和系統(tǒng)級地址隨機化同一條 payload 會連續(xù)失敗這幾個開關就是緩沖區(qū)溢出從「能打」變成「難打」的全部原因。5. 避坑記錄從 dlc 報錯到炸彈爆炸的五個現(xiàn)場這三個實驗的錯誤信息都不算友好dlc只報行號和規(guī)則名炸彈只打印BOOM!!!溢出實驗直接段錯誤。下面五條是我和身邊人反復踩過的按「現(xiàn)象 → 原因 → 解決」寫遇到了直接對號入座。5.1 dlc 報「bad expression」但代碼看著沒錯現(xiàn)象./dlc bits.c報某行 bad expression人眼檢查那行只有一個x 0xff。原因常量超范圍0xff是 255 沒問題但很多人順手寫0xffffff00這種掩碼超過 255 就被判非法。解決用移位和取反造大常量~0xff或(131)31 8既合法又不增加太多算子。5.2 btest 全過但提交后算子超標現(xiàn)象本地./btest13 個函數(shù)全綠助教腳本判 0 分。原因只跑了功能測試沒跑規(guī)則測試btest不檢查Max ops算子數(shù)和合法算子只有dlc管。解決把./dlc -e bits.c加進提交前的固定流程輸出里每個函數(shù)的算子數(shù)都要低于上限留 12 個余量防止不同版本dlc計數(shù)差異。5.3 炸彈階段 2 輸入對了還是炸現(xiàn)象按斐波那契推出來的 6 個數(shù)字輸進去程序仍然BOOM!!!。原因讀入函數(shù)對分隔符敏感有的是空格分隔有的是逗號還有的要求一行內恰好 6 個數(shù)字不能多不能少。解決先用x/s查read_six_numbers里的格式串確認分隔符再在read_six_numbers返回處下斷點x/6dw看棧上實際讀到了幾個數(shù)讀少了就是格式不對。5.4 gdb 斷點打在 phase 函數(shù)上但程序先炸了現(xiàn)象break phase_3之后run沒停到斷點直接輸出爆炸信息退出。原因前面某個階段的輸入是錯的程序在階段 2 就炸了根本走不到階段 3也可能是斷點地址被 PIE 重定位改變地址對不上。解決先break explode_bomb兜底再逐個階段用continue推進看停在哪一步同時用info files確認二進制是不是 PIE是的話改用break phase_3這種符號斷點而不是硬編碼地址。5.5 溢出 payload 長度對了但跳轉地址錯位現(xiàn)象偏移算得和info frame一致payload 長度也對但ret之后跳到非法地址。原因目標地址里含有0x0a被gets之類的行讀入函數(shù)當成換行提前截斷實際寫入的字節(jié)數(shù)比預期少。解決先x/8bx看棧上實際寫入的字節(jié)確認有沒有被截斷再換目標地址跳到目標函數(shù)里不含0x0a的那條指令上一般往下挪一兩條就能繞開。順帶養(yǎng)成習慣payload 生成腳本里加一行打印長度和十六進制內容出問題時省一半排查時間。6. 進階把三個實驗串成一條自動驗證鏈單次跑通和穩(wěn)定復現(xiàn)是兩件事。我在帶人做這套實驗時發(fā)現(xiàn)絕大多數(shù)「昨天還對今天就不對」的情況都是因為驗證步驟靠手敲中間漏了一步。把三個實驗的驗證串成一條鏈每次改完代碼跑一遍比事后對著報錯猜要省時間得多。具體做法是寫一個入口腳本把規(guī)則檢查、功能測試、反匯編、payload 生成四件事固定下來#!/bin/bash # 一次跑完三個實驗的驗證步驟, 任一步失敗就退出 set -e echo [1/4] bits.c 規(guī)則檢查 ./dlc -e bits.c echo [2/4] bits.c 功能測試 make -s btest ./btest echo [3/4] 炸彈反匯編刷新 objdump -d bomb asm.txt grep -c explode_bomb asm.txt echo [4/4] 溢出 payload 重建 python3 gen_payload.py ls -l payload.txt腳本說明set -e讓任一步失敗就停避免帶著錯誤往下跑make -s靜默編譯輸出干凈grep -c順手統(tǒng)計爆炸函數(shù)引用數(shù)個數(shù)變了往往意味著二進制換過之前的斷點地址全部作廢最后一步重建 payload 并打印文件大小長度異常一眼能看出來。這個腳本不長但它把「我改了什么、哪一步開始不對」變成了可定位的信息。另外一個值得堅持的習慣是每次實驗開始前先把當前二進制的關鍵地址抄進一個文本文件包括六個階段的入口、explode_bomb、字符串表基址、buf偏移、目標函數(shù)地址。這份清單看起來笨但換環(huán)境重編一次二進制之后所有硬編碼地址都會變有清單就能逐條對照更新沒有就只能從頭再找一遍。從那以后我每次動這類底層實驗都強制先跑一遍dlc -e和info frame把算子數(shù)和棧偏移這兩個數(shù)字記下來再寫代碼翻車次數(shù)明顯少了。希望幫到你。本文還有配套的精品資源點擊獲取