概览

压缩包内有三个文件：没什么用的README，可执行文件bomb和源代码bomb.c。当然这个源代码只包含main()函数，主要的功能函数需要gdb调试进行分析。

main()函数的主要逻辑很简单：根据入参判断是否从文件读取密码；初始化炸弹；依次读取密码并判断密码是否正确（共6个）。

FILE *infile;

int main(int argc, char *argv[]) {
    /* When run with no arguments, the bomb reads its input lines
     * from standard input. */
    if (argc == 1) {
	infile = stdin;
    }

    /* Do all sorts of secret stuff that makes the bomb harder to defuse. */
    initialize_bomb();

    /* Hmm...  Six phases must be more secure than one phase! */
    input = read_line();             /* Get input                   */
    phase_1(input);                  /* Run the phase               */
    phase_defused();                 /* Drat!  They figured it out!
				      * Let me know how they did it. */
    printf("Phase 1 defused. How about the next one?\n");

    /* 后面的五个炸弹也是相同的逻辑 */
}

需要说明的是，argc是命令行参数的个数，argv是一个字符数组指针，数组中的每个指针指向参数字符串。在当前目录下以./bomb命令执行这个可执行文件时，arg == 1，argv[0]指向"<prefix>/bomb"，可执行文件路径会补全成绝对路径。

反汇编

开始之前可以先用objdump命令查看一个程序的汇编代码大概长什么样子：objdump bomb -d > bomb.s ，这样可以把反汇编得到的汇编代码输入到bomb.s这个文件方便查看。-d选项表示只解析代码段。

264
265
266
267
268
269
270
271
272
273
274
275
276

0000000000400da0 <main>:
  400da0:	53                   	push   %rbx
  400da1:	83 ff 01             	cmp    $0x1,%edi
  400da4:	75 10                	jne    400db6 <main+0x16>
  400da6:	48 8b 05 9b 29 20 00 	mov    0x20299b(%rip),%rax        # 603748 <stdin@@GLIBC_2.2.5>
  400dad:	48 89 05 b4 29 20 00 	mov    %rax,0x2029b4(%rip)        # 603768 <infile>
  400db4:	eb 63                	jmp    400e19 <main+0x79>
  400db6:	48 89 f3             	mov    %rsi,%rbx
  400db9:	83 ff 02             	cmp    $0x2,%edi
  400dbc:	75 3a                	jne    400df8 <main+0x58>
  400dbe:	48 8b 7e 08          	mov    0x8(%rsi),%rdi
  400dc2:	be b4 22 40 00       	mov    $0x4022b4,%esi
  400dc7:	e8 44 fe ff ff       	callq  400c10 <fopen@plt>

从bomb.s的第264行开始才是main函数的汇编代码，前面的都是一些操作系统入口函数和标准库函数，也就是说main函数是主程序的入口，但是不是整个可执行文件的入口。

文件结构很好理解，400da0（十六进制）是指令的地址，后面是十六进制表示的指令内容，再后面是指令的汇编助记符和注释。

push %rbx这条指令中，push为指令操作码，%rbx为操作数，指令总长为一个字节（两位十六进制），所以下一条指令的地址是400da0 + 1。注意，0x53是push %rbx这条指令，而不只是push这个操作码；同样是push操作码，push %rbp的内容就是0x58。

cmp $0x1,%edi这条指令的长度为三个字节，表示将立即数0x1和寄存器%edi的内容作比较。这个寄存器表示函数的第一个参数，所以这条指令就与if (argc == 1)这行C代码对上了。

使用gdb调试得到的内容和bomb.s的内容是一样的，我们会在后面的分析过程中学习这些指令的具体作用。

下面需要了解一下x86-64架构下的运行时栈和CPU寄存器。

运行时栈

在程序运行时，会有两个指针在内存中卡出来一个区域，给当前的函数存储临时变量用。第一个指针在函数执行过程中是静态的，表示这段内存开始的地方，而第二个指针是动态的，总是指向下一个可用的内存字节，当前函数往内存中存储临时变量时，第二个指针也会跟着变化。

当发生函数调用时，当前函数的第二个指针的内容就变成了被调用函数的第一个指针的内容，随着被调用函数往内存中存储临时变量，被调用函数的第二个指针也会动态变化。这样就划分出了一个新的内存段。以此往复。

而被调用函数总是比当前函数先执行完成，所以这些内存段符合先进后出的逻辑，故而谓之栈。这些内存段也被叫做栈帧。

寄存器

x86-64架构共16个通用整数寄存器，如下图：

**位数：**由于不是所有的数据都需要64位来保存，所以用不同的名字来表示不同的位数。例如前面提到的%edi，

Caller saved & Callee saved：这涉及到寄存器数据一致性问题。CPU并不保证某个通用寄存器在调用函数前和被调用函数执行后的值保持一致，因为被调用函数可能也会使用这些寄存器。所以需要保持寄存器数据一致时，就需要把寄存器的值保存在栈中，被调用函数返回时再恢复到寄存器中。

如果当前函数需要在调用其它函数之后继续使用Caller saved寄存器的值，那么它就有义务在调用其它函数之前保存这些寄存器的值，负责其数据一致性；如果后续不再使用，也就不用保存。相对的，如果被调用函数需要改变Callee saved寄存器的值，那么它就需要在改变之前先将数据入栈保存，并且在函数返回之前还原该寄存器；如果不改变寄存器的值，则不需要保存。

把寄存器分成这两类，可以使编译器制定比较好的寄存器分配策略，减少访存次数，提高程序运行效率。

除此之外还会用到eflags寄存器，它是运算标记寄存器，会根据当前运算结果更新，具体如下图：

GDB调试

使用过程如下。

先执行命令gdb bomb，进入GDB环境，此时程序不会自动执行。然后打断点或者单步执行，在到达断点或者单步执行之后，可以停下来查看寄存器和内存的数据，或者反编译某个函数进行手动模拟。

下面是一些常用命令示例。

控制执行：

查看代码/数据：

查看信息：