一道逆向CTF題-read asm詳解

題目給出一段c程序：

int main(int argc, char const *argv[])
{
char input[] = {0x0, 0x67, 0x6e, 0x62, 0x63, 0x7e, 0x74, 0x62, 0x69, 0x6d,
0x55, 0x6a, 0x7f, 0x60, 0x51, 0x66, 0x63, 0x4e, 0x66, 0x7b,
0x71, 0x4a, 0x74, 0x76, 0x6b, 0x70, 0x79, 0x66 , 0x1c};
func(input, 28);
printf("%s\n",input+1);
return 0;
}

接着給出函數func的asm代碼：

00000000004004e6 : 
4004e6: 55 push rbp 
4004e7: 48 89 e5 mov rbp,rsp 
4004ea: 48 89 7d e8 mov QWORD PTR [rbp-0x18],rdi 
4004ee: 89 75 e4 mov DWORD PTR [rbp-0x1c],esi 
4004f1: c7 45 fc 01 00 00 00 mov DWORD PTR [rbp-0x4],0x1 
4004f8: eb 28 jmp 400522 
4004fa: 8b 45 fc mov eax,DWORD PTR [rbp-0x4] 
4004fd: 48 63 d0 movsxd rdx,eax 
400500: 48 8b 45 e8 mov rax,QWORD PTR [rbp-0x18] 
400504: 48 01 d0 add rax,rdx 
400507: 8b 55 fc mov edx,DWORD PTR [rbp-0x4] 
40050a: 48 63 ca movsxd rcx,edx 
40050d: 48 8b 55 e8 mov rdx,QWORD PTR [rbp-0x18] 
400511: 48 01 ca add rdx,rcx 
400514: 0f b6 0a movzx ecx,BYTE PTR [rdx] 
400517: 8b 55 fc mov edx,DWORD PTR [rbp-0x4] 
40051a: 31 ca xor edx,ecx 
40051c: 88 10 mov BYTE PTR [rax],dl 
40051e: 83 45 fc 01 add DWORD PTR [rbp-0x4],0x1 
400522: 8b 45 fc mov eax,DWORD PTR [rbp-0x4] 
400525: 3b 45 e4 cmp eax,DWORD PTR [rbp-0x1c] 
400528: 7e d0 jle 4004fa 
40052a: 90 nop 
40052b: 5d pop rbp 
40052c: c3 ret

題目思路很清晰，主程序主要是調用了func函數對input數組進行操作。所以最主要的是讀懂func的這段彙編代碼，下面對每段代碼詳細解讀：

這裏是調用函數必備的操作，將調用函數的棧幀棧底指針壓入，即將rbp寄存器的值壓入調用棧中；建立新的棧幀，將被調函數的棧幀棧底地址(rsp)放入rbp寄存器中。

4004e6: 55 push rbp 
4004e7: 48 89 e5 mov rbp,rsp 

這裏先解釋下QWORD和DWORD，QWORD是四字，DWORD是雙字，一個字是2個字節（16位），所以QWORD存儲64位數據，DWORD存儲32位數據。還有r開頭的寄存器用來存64位數據，e開頭的寄存器用來存32位數據。

4004ea: 48 89 7d e8 mov QWORD PTR [rbp-0x18],rdi //rdi存參數1（在內存 [rbp-0x18]處）
4004ee: 89 75 e4 mov DWORD PTR [rbp-0x1c],esi //esi存參數2（在內存 [rbp-0x1c]處）
4004f1: c7 45 fc 01 00 00 00 mov DWORD PTR [rbp-0x4],0x1 //向內存 [rbp-0x4] 寫入1
4004f8: eb 28 jmp 400522 //跳轉到400522處

這裏說一下cmp與jle指令（一般二者同時出現），例如cmp A,B，若A小於B，則執行jle的指令，即進行跳轉，否則不進行跳轉。

400522: 8b 45 fc mov eax,DWORD PTR [rbp-0x4] //eax=1（讀取內存[rbp-0x4]處的值）
400525: 3b 45 e4 cmp eax,DWORD PTR [rbp-0x1c] //比較eax與內存[rbp-0x1c]的值(即參數2：28）
400528: 7e d0 jle 4004fa //如果eax小於28，則跳轉到4004fa處
40052a: 90 nop //空指令
40052b: 5d pop rbp //函數調用結束，彈出棧底指針
40052c: c3 ret

說一下movsxd指令，爲帶符號擴展並傳送。BYTE存儲8位數據。

4004fa: 8b 45 fc mov eax,DWORD PTR [rbp-0x4] //eax=1
4004fd: 48 63 d0 movsxd rdx,eax //rdx=1
400500: 48 8b 45 e8 mov rax,QWORD PTR [rbp-0x18] //rax=input[0]（參數1）
400504: 48 01 d0 add rax,rdx //rax+=rdx即rax=input[1]
400507: 8b 55 fc mov edx,DWORD PTR [rbp-0x4] //edx=1
40050a: 48 63 ca movsxd rcx,edx //rcx=1
40050d: 48 8b 55 e8 mov rdx,QWORD PTR [rbp-0x18] //rdx=input[0]
400511: 48 01 ca add rdx,rcx //rdx=input[0]+1=input[1]
400514: 0f b6 0a movzx ecx,BYTE PTR [rdx] //ecx=rdx=0x67
400517: 8b 55 fc mov edx,DWORD PTR [rbp-0x4] //edx=1
40051a: 31 ca xor edx,ecx //edx^=ecx即edx=0x1^0x67=0x66="f"
40051c: 88 10 mov BYTE PTR [rax],dl //rax=dl
40051e: 83 45 fc 01 add DWORD PTR [rbp-0x4],0x1 //內存[rbp-0x4]處值爲1
400522: 8b 45 fc mov eax,DWORD PTR [rbp-0x4] //這裏接上段
400525: 3b 45 e4 cmp eax,DWORD PTR [rbp-0x1c] 
400528: 7e d0 jle 4004fa 

以下是最終的func源程序：

void func(char input[],int num)
{
    int i = 1;
    while(i <= num)
    {
        *(input[0]+i) ^= i; 
        i++;
    }
}

跑一下出結果：
flag{read_asm_is_the_basic}