本文接 深入理解計算機系統（CSAPP）課程實驗bomb程式炸彈實驗日誌（phase_3）繼續寫，phase_4部分在昨天已經完成了，日誌在今天才開始寫。個人認為這個部分是整個bomb程式炸彈最難破解的部分，在破解的過程中發現這是一個遞迴函式，體現在組合語言中就顯得特徵不是那麼明顯，所以採用了一種將彙編轉化成與之等價的C語言語句，這樣有助於更好的看清程式的運作過程。下面是我的探索過程。

在Notepad++中查詢到函式phase_4，程式碼如下：

08048e2e <phase_4>:
 8048e2e:	55                   	push   %ebp
 8048e2f:	89 e5                	mov    %esp,%ebp
 8048e31:	83 ec 28             	sub    $0x28,%esp
 8048e34:	8d 45 f0             	lea    -0x10(%ebp),%eax
 8048e37:	89 44 24 0c          	mov    %eax,0xc(%esp)
 8048e3b:	8d 45 f4             	lea    -0xc(%ebp),%eax
 8048e3e:	89 44 24 08          	mov    %eax,0x8(%esp)
 8048e42:	c7 44 24 04 3e a2 04 	movl   $0x804a23e,0x4(%esp)
 8048e49:	08 
 8048e4a:	8b 45 08             	mov    0x8(%ebp),%eax
 8048e4d:	89 04 24             	mov    %eax,(%esp)
 8048e50:	e8 eb f9 ff ff       	call   8048840 <
 
[email protected]>
 8048e55:	83 f8 02             	cmp    $0x2,%eax
 8048e58:	75 0c                	jne    8048e66 <phase_4+0x38>
 8048e5a:	8b 45 f4             	mov    -0xc(%ebp),%eax
 8048e5d:	85 c0                	test   %eax,%eax
 8048e5f:	78 05                	js     8048e66 <phase_4+0x38>
 8048e61:	83 f8 0e             	cmp    $0xe,%eax
 8048e64:	7e 05                	jle    8048e6b <phase_4+0x3d>
 8048e66:	e8 66 02 00 00       	call   80490d1 <explode_bomb>
 8048e6b:	c7 44 24 08 0e 00 00 	movl   $0xe,0x8(%esp)
 8048e72:	00 
 8048e73:	c7 44 24 04 00 00 00 	movl   $0x0,0x4(%esp)
 8048e7a:	00 
 8048e7b:	8b 45 f4             	mov    -0xc(%ebp),%eax
 8048e7e:	89 04 24             	mov    %eax,(%esp)
 8048e81:	e8 da fc ff ff       	call   8048b60 <func4>
 8048e86:	83 f8 01             	cmp    $0x1,%eax
 8048e89:	75 06                	jne    8048e91 <phase_4+0x63>
 8048e8b:	83 7d f0 01          	cmpl   $0x1,-0x10(%ebp)
 8048e8f:	74 0c                	je     8048e9d <phase_4+0x6f>
 8048e91:	8d b4 26 00 00 00 00 	lea    0x0(%esi,%eiz,1),%esi
 8048e98:	e8 34 02 00 00       	call   80490d1 <explode_bomb>
 8048e9d:	c9                   	leave  
 8048e9e:	66 90                	xchg   %ax,%ax
 8048ea0:	c3                   	ret    
 

同樣，從函式開始的部分到0x8048e4d位置都是在做新空間的開闢和引數的傳遞工作。依然設-0xc(%ebp)位置的引數為val1，-0x10(%ebp)位置的引數為val2，接著0x8048e50位置就是資料讀入，0x8048e55位置eax中的資料應該是讀入資料的個數，若eax中的值不等於2，跳轉到0x8048e66位置，引爆炸彈。所以這一關的要求是輸入兩個數字，且兩個引數之間必定會滿足某種關係。

接下來是0x8048e5a位置的一條mov指令，將引數1放入暫存器eax中。0x8048e5d開始的test和js指令，將eax和eax自身進行與操作，當符號位位1時發生跳轉，引爆炸彈。這說明eax中存的數必須滿足符號位不為1，也就是必須是一個正數，這樣我們獲得了引數1的第一個範圍限制。

繼續往下讀，0x8048e5a位置開始又是一個比較加跳轉指令，將引數1的值和十六進位制的e，也就是十進位制的14進行比較，若eax<=14，則跳轉到0x8048e6b位置，否則下一步就是引爆炸彈。所以，引數1必須小於等於14，這樣得到了引數1的第二個範圍限制。

然後將執行0x8048e6b位置和0x8048e73位置的兩個movl指令，0x8048e7b開始再將eax中的值設為phase_4的返回值。

再往下看，0x8048e81位置呼叫了func4函式，這又是另外一個函式，也是phase_4這個部分最關鍵的地方，先跳過它繼續往下獲取資訊。

0x8048e86位置開始是一個比較加跳轉指令，在將func4函式執行後的返回值和1做比較，若不等則引爆炸彈。說明此函式的返回值必須為1。

0x8048e8b位置同樣是一個比較加跳轉，將引數2的值和1進行比較，若相等則函式執行結束，否則引爆炸彈。說明引數2的值必須為1。

接下來分析最關鍵的函式func4部分，它是一個遞迴結構，通過逐條將彙編指令轉化成對應的C語言程式碼，將函式的功能清楚地顯示出來。

在Notepad++中搜索函式func4，程式碼如下：

08048b60 <func4>:
 8048b60:	55                   	push   %ebp
 8048b61:	89 e5                	mov    %esp,%ebp
 8048b63:	83 ec 18             	sub    $0x18,%esp
 8048b66:	89 5d f8             	mov    %ebx,-0x8(%ebp)
 8048b69:	89 75 fc             	mov    %esi,-0x4(%ebp)
 8048b6c:	8b 55 08             	mov    0x8(%ebp),%edx
 8048b6f:	8b 45 0c             	mov    0xc(%ebp),%eax
 8048b72:	8b 5d 10             	mov    0x10(%ebp),%ebx
 8048b75:	89 d9                	mov    %ebx,%ecx
 8048b77:	29 c1                	sub    %eax,%ecx
 8048b79:	89 ce                	mov    %ecx,%esi
 8048b7b:	c1 ee 1f             	shr    $0x1f,%esi
 8048b7e:	8d 0c 0e             	lea    (%esi,%ecx,1),%ecx
 8048b81:	d1 f9                	sar    %ecx
 8048b83:	01 c1                	add    %eax,%ecx
 8048b85:	39 d1                	cmp    %edx,%ecx
 8048b87:	7e 17                	jle    8048ba0 <func4+0x40>
 8048b89:	83 e9 01             	sub    $0x1,%ecx
 8048b8c:	89 4c 24 08          	mov    %ecx,0x8(%esp)
 8048b90:	89 44 24 04          	mov    %eax,0x4(%esp)
 8048b94:	89 14 24             	mov    %edx,(%esp)
 8048b97:	e8 c4 ff ff ff       	call   8048b60 <func4>
 8048b9c:	01 c0                	add    %eax,%eax
 8048b9e:	eb 20                	jmp    8048bc0 <func4+0x60>
 8048ba0:	b8 00 00 00 00       	mov    $0x0,%eax
 8048ba5:	39 d1                	cmp    %edx,%ecx
 8048ba7:	7d 17                	jge    8048bc0 <func4+0x60>
 8048ba9:	89 5c 24 08          	mov    %ebx,0x8(%esp)
 8048bad:	83 c1 01             	add    $0x1,%ecx
 8048bb0:	89 4c 24 04          	mov    %ecx,0x4(%esp)
 8048bb4:	89 14 24             	mov    %edx,(%esp)
 8048bb7:	e8 a4 ff ff ff       	call   8048b60 <func4>
 8048bbc:	8d 44 00 01          	lea    0x1(%eax,%eax,1),%eax
 8048bc0:	8b 5d f8             	mov    -0x8(%ebp),%ebx
 8048bc3:	8b 75 fc             	mov    -0x4(%ebp),%esi
 8048bc6:	89 ec                	mov    %ebp,%esp
 8048bc8:	5d                   	pop    %ebp
 8048bc9:	c3                   	ret    

以下是在棧中模擬func4函式操作並將彙編指令轉化為C語言程式碼的過程示意：

將轉化的C語言程式碼整合成完整的func4在編譯器中執行，註釋為對應的彙編程式碼：

#include <stdio.h>
//val1:%edx,y:%eax,z:%ebx,k:%ecx,t:%esi;
int func4(int val1,int y,int z)
{
	int k,t;	//
	k = z;	//8048b75:	89 d9                	mov    %ebx,%ecx
	k = k-y;	//8048b77:	29 c1                	sub    %eax,%ecx
	t = k;	//8048b79:	89 ce                	mov    %ecx,%esi
	t = t>>31;	//8048b7b:	c1 ee 1f             	shr    $0x1f,%esi
	k = k+t;	//8048b7e:	8d 0c 0e             	lea    (%esi,%ecx,1),%ecx
	k = k/2;	//8048b81:	d1 f9                	sar    %ecx
	k = k+y;	//8048b83:	01 c1                	add    %eax,%ecx
	if(k<=val1)	//8048b85:	39 d1                	cmp    %edx,%ecx
 				//8048b87:	7e 17                	jle    8048ba0 <func4+0x40>
	{
		y = 0;	//8048ba0:	b8 00 00 00 00       	mov    $0x0,%eax
		if(k>=val1)	//8048ba5:	39 d1                	cmp    %edx,%ecx
 					//8048ba7:	7d 17                	jge    8048bc0 <func4+0x60>
		{
			return y;	//8048bc0:	8b 5d f8             	mov    -0x8(%ebp),%ebx
 						//8048bc3:	8b 75 fc             	mov    -0x4(%ebp),%esi
 						//8048bc6:	89 ec                	mov    %ebp,%esp
 						//8048bc8:	5d                   	pop    %ebp
 						//8048bc9:	c3                   	ret    
		}
		else
		{
			k = k+1;	//8048bad:	83 c1 01             	add    $0x1,%ecx
			y = func4(val1,k,z);	//8048ba9:	89 5c 24 08          	mov    %ebx,0x8(%esp)
									//8048bb0:	89 4c 24 04          	mov    %ecx,0x4(%esp)
									//8048bb4:	89 14 24             	mov    %edx,(%esp)
			y = y+y+1;	//8048bbc:	8d 44 00 01          	lea    0x1(%eax,%eax,1),%eax
			return y;	//8048bc0:	8b 5d f8             	mov    -0x8(%ebp),%ebx
 						//8048bc3:	8b 75 fc             	mov    -0x4(%ebp),%esi
 						//8048bc6:	89 ec                	mov    %ebp,%esp
 						//8048bc8:	5d                   	pop    %ebp
 						//8048bc9:	c3                   	ret    
		}
	}
	else
	{
		k = k-1;	//8048b89:	83 e9 01             	sub    $0x1,%ecx
		y = func4(val1,y,k);	//8048b8c:	89 4c 24 08          	mov    %ecx,0x8(%esp)
 								//8048b90:	89 44 24 04          	mov    %eax,0x4(%esp)
 								//8048b94:	89 14 24             	mov    %edx,(%esp)
		y = y+y;	//8048b9c:	01 c0                	add    %eax,%eax
		return y;	//8048b9e:	eb 20                	jmp    8048bc0 <func4+0x60>
	}
}

int main()
{
	int val1,val2;
	for(val1=0;val1<=14;val1++)
	{
		val2 = func4(val1,0,14);
		if(val2 == 1)
		{
			printf("%d\n",val1);
		}
	}
	return 0;
}

執行後的結果如下：

說明滿足條件的答案有3個，分別是：

8，1

9，1

11，1

輸入任意一個進行驗證：