1. 拆弹之前这个实验到底在练什么如果你正在读计算机相关专业大概率听说过“二进制炸弹”这个实验。它最早源自某知名高校的计算机系统课程后来被国内很多高校引入到计算机系统基础或汇编语言相关的实验环节中。简单说这个实验给你一个编译好的可执行文件里面埋了若干个“关卡”每一关都要求你输入特定的字符串或数字。输错了程序就“爆炸”——轻则扣分重则直接结束。你的任务就是通过反汇编和调试搞清楚每一关到底在验证什么然后构造出正确的输入。这个实验之所以经典是因为它逼着你把课堂上学的那些东西真正用起来汇编代码阅读、寄存器状态分析、栈帧结构理解、过程调用约定、循环与递归的机器级表示。这些东西光看书是学不会的必须亲手拆几个“炸弹”才能形成肌肉记忆。我当年做这个实验的时候前前后后花了将近两周踩了无数坑。后来帮学弟学妹看代码发现大家卡住的地方其实高度相似。所以我把整个拆弹过程重新梳理了一遍把每一关的核心考点、分析思路、实操命令和避坑经验都整理出来。无论你用的是哪种调试工具无论你的炸弹有几个关卡这套方法论都能直接套用。注意本文所有分析基于常见的x86-64架构和GCC编译产物不同环境下的具体指令可能有差异但分析思路完全通用。2. 拆弹前的环境准备与工具选型2.1 你需要哪些工具拆二进制炸弹本质上就是静态分析加动态调试两条腿走路。静态分析靠反汇编器动态调试靠调试器。我试过好几种组合下面这套是最顺手的工具用途推荐理由objdump反汇编系统自带无需安装适合快速查看整体结构gdb动态调试功能强大可以单步执行、查看寄存器、修改内存gdb-pedagdb增强插件自动显示寄存器、栈、反汇编大幅提升效率strings提取字符串快速定位程序中的提示信息和可疑常量xxd十六进制查看查看二进制文件中的原始数据如果你在Linux环境下这些工具基本都预装了最多装一个gdb-peda。Windows下可以用WSL体验几乎一样。2.2 拿到炸弹后的第一步拿到炸弹文件后先别急着反汇编。我习惯先做三件事第一用file命令确认文件类型和架构。这一步很关键因为它决定了你后面用32位还是64位的分析思路。比如输出里如果有“ELF 64-bit LSB executable, x86-64”那就说明是64位程序寄存器以r开头参数传递用rdi、rsi、rdx等。第二用strings命令提取所有可打印字符串。这一步经常能捡到宝。比如有些关卡会直接告诉你“输入两个数字”有些会暴露比较用的常量字符串。虽然不一定直接给出答案但能帮你快速理解每一关的意图。第三用objdump -d把整个程序反汇编出来保存到一个文本文件里。这样你可以用编辑器搜索、跳转比在终端里翻页效率高得多。命令大概是这样的objdump -d bomb bomb.asm然后打开bomb.asm先看main函数。main函数里通常会有一个循环依次调用每一关的函数。找到这些函数的地址和名字你就有了整个炸弹的“地图”。2.3 调试器的基本配置gdb是拆弹的主力工具。开始之前建议在home目录下建一个.gdbinit文件内容如下set disassembly-flavor intel set pagination off第一行让反汇编用Intel格式比ATT格式好读得多。第二行关闭分页避免每次输出都要按回车。如果你装了peda启动gdb后会自动加载。peda的好处是每次停下来都会显示寄存器、栈、当前指令附近的代码省去了手动敲info registers和x/20x $rsp的麻烦。实操心得我习惯在gdb里用b *0x地址下断点而不是用函数名。因为炸弹程序往往 stripped 了符号表函数名可能看不到。通过objdump找到的地址是最可靠的。3. 第一关字符串比较的经典套路3.1 反汇编里找线索第一关通常是送分题但也是建立信心的关键。用objdump找到phase_1的地址然后看它的反汇编代码。典型的phase_1长这样sub $0x8,%rsp mov $0x402400,%esi call 0x401338 strings_not_equal test %eax,%eax je 0x400ef7 phase_10x17 call 0x40143a explode_bomb add $0x8,%rsp ret这段代码的逻辑非常清晰把某个地址0x402400放进esi寄存器然后调用strings_not_equal函数比较你输入的字符串和那个地址处的字符串。如果相等eax为0就跳转跳过爆炸否则调用explode_bomb。所以答案就藏在0x402400这个地址里。你只需要在gdb里运行炸弹断在phase_1然后查看那个地址的内容x/s 0x402400gdb会打印出那个地址处的字符串那就是第一关的答案。3.2 为什么是esi而不是edi这里涉及x86-64的过程调用约定。strings_not_equal有两个参数第一个参数是你输入的字符串在rdi里第二个参数是目标字符串在esi里。rdi在调用read_line之后就已经指向你的输入了所以phase_1只需要把目标字符串的地址放进esi。如果你看到的是mov $0x402400,%esi而不是%rdi不要觉得奇怪。这说明函数作者把“用户输入”作为第一个参数“正确答案”作为第二个参数。你只需要关注那个立即数地址就行了。3.3 常见坑点有些炸弹的第一关不是直接比较字符串而是对输入做了某种变换再比较。比如把每个字符加1或者反转字符串。这时候你光看strings_not_equal的调用是不够的需要看它前面有没有循环或运算指令。我遇到过一个变种phase_1里有一个循环逐个字符把输入转换后再比较。这种情况下你需要逆向那个转换逻辑然后对目标字符串做逆变换才能得到答案。判断方法很简单如果phase_1的反汇编代码明显比上面那段长而且有循环结构那就不是简单的字符串比较。提示第一关的答案通常是一个有意义的英文短语比如“Public speaking is very easy.”之类的。如果你解出来的字符串看起来像乱码大概率是搞错了。4. 第二关循环与数组的机器级表示4.1 识别循环结构第二关通常要求输入6个数字然后程序会对这些数字做一系列检查。反汇编代码里会出现明显的循环结构典型特征是有cmp、jle、jmp等指令构成的回边。我习惯先看phase_2的整体结构找到循环的边界。通常会有两个循环第一个循环读取6个数字到栈上的数组第二个循环检查数组元素之间的关系。读取数字的部分通常长这样lea 0x10(%rsp),%rsi mov %rsp,%rdi call read_six_numbersread_six_numbers是一个辅助函数内部调用sscanf或类似的函数把输入解析成6个整数存到从rsp开始的连续内存里。每个整数占4个字节所以6个整数占24字节。4.2 分析检查逻辑检查逻辑是第二关的核心。常见的模式是第一个数字必须是某个值然后后面的每个数字是前一个数字的倍数或加上某个常数。比如有一段典型的代码mov (%rsp),%eax cmp $0x1,%eax je 0x400f30 call explode_bomb这说明第一个数字必须是1。然后mov -0x4(%rbx),%eax add %eax,%eax cmp %eax,(%rbx) je 0x400f25 call explode_bomb这段代码的意思是当前数字(%rbx)必须等于前一个数字-0x4(%rbx)的两倍。所以如果第一个是1第二个就是2第三个是4以此类推。4.3 手动验证与构造答案分析出规律后不要急着输入。先在纸上或编辑器里把6个数字算出来然后在gdb里验证。验证方法在phase_2的检查循环开始前下断点运行炸弹输入你构造的数字。然后单步执行观察每次比较时eax和内存里的值是否如你预期。如果某一步比较失败就说明你对规律的理解有偏差需要回头重新看反汇编。实操心得第二关的数字通常不会太大因为程序里往往用add %eax,%eax这种翻倍操作。如果算出来的数字超过了几百就要怀疑是不是理解错了。另外注意数字的符号有些炸弹用的是有符号比较jg、jl有些用的是无符号比较ja、jb这会影响你对数字范围的判断。4.4 一个容易忽略的细节read_six_numbers的返回值经常被忽略。这个函数返回成功读取的数字个数。如果返回值小于6程序会直接爆炸。所以你的输入必须包含至少6个数字而且格式要正确。通常用空格分隔就行比如“1 2 4 8 16 32”。有些炸弹对输入格式很挑剔比如要求数字之间用空格而不是逗号。如果你确认逻辑没问题但总是爆炸可以检查一下输入格式。5. 第三关跳转表与switch-case的逆向5.1 跳转表的识别第三关通常会引入switch-case结构在汇编层面表现为跳转表jump table。这是很多同学第一次遇到跳转表容易懵。跳转表的典型特征是有一段代码用jmp *0x402470(,%rax,8)这样的指令。这里的0x402470是跳转表的基地址%rax是索引8是每个表项的大小64位系统上指针是8字节。在gdb里你可以这样查看跳转表的内容x/8gx 0x402470这会打印出8个8字节的值每个值都是一个代码地址。这些地址就是各个case分支的入口。5.2 逆向每个分支跳转表本身不复杂复杂的是每个case分支里的逻辑。通常每个分支会做两件事把某个值放进eax作为该分支的“结果”然后跳转到统一的比较点。比如0x400f7c: mov $0xcf,%eax 0x400f81: jmp 0x400fbe 0x400f83: mov $0x2c3,%eax 0x400f88: jmp 0x400fbe每个分支给eax赋不同的值最后在0x400fbe处比较eax和你输入的第二个数字。如果相等这一关就过了。所以你需要做的是确定第一个数字通常是索引然后找到对应分支给eax赋的值那个值就是第二个数字。5.3 索引的确定第一个数字往往不是随便选的。在跳转之前程序通常会检查第一个数字是否在合法范围内。比如sub $0x1,%eax cmp $0x7,%eax ja 0x400fad这说明第一个数字减1后必须小于等于7也就是说第一个数字的范围是1到8。如果你输入0或9程序会直接爆炸。注意这里的ja是无符号比较。如果第一个数字是负数减1后会变成一个很大的无符号数也会触发爆炸。所以第一个数字必须是正数。5.4 实操步骤总结第三关的拆解流程可以固化为在gdb里运行到phase_3查看跳转表地址和内容。确定第一个数字的合法范围。选择一个索引找到对应分支给eax赋的值。构造输入“索引 值”在gdb里验证。如果爆炸换一个索引重试。我通常会选第一个合法索引因为这样最容易定位。比如范围是1到8我就选1然后看case 1给eax赋了什么值。实操心得有些炸弹的第三关有多个正确答案因为跳转表里可能有多个分支给eax赋了相同的值。你只需要找到一个正确的组合就行。另外注意输入格式通常是“数字 数字”中间用空格分隔。6. 第四关递归函数的逆向分析6.1 识别递归第四关通常会引入一个递归函数比如func4。递归在汇编层面的特征是函数内部有call func4的指令也就是自己调用自己。看到递归不要慌。递归的本质是数学归纳法你只需要搞清楚三件事基准情况是什么递归关系是什么返回值怎么用。6.2 分析func4的结构典型的func4长这样func4: sub $0x8,%rsp mov %edx,%eax sub %esi,%eax mov %eax,%ecx shr $0x1f,%ecx add %ecx,%eax sar %eax add %esi,%eax cmp %edi,%eax jg 0x400ff2 jl 0x400ffc mov $0x0,%eax add $0x8,%rsp ret这段代码看起来复杂但拆开看就清楚了。它实际上是在做二分查找eax是中间值如果中间值大于目标edi就递归搜索左半部分如果小于就递归搜索右半部分如果相等返回0。6.3 确定输入条件phase_4通常会调用func4然后检查返回值。比如mov $0xe,%edx mov $0x0,%esi mov 0x8(%rsp),%edi call func4 cmp $0x0,%eax je 0x401058 call explode_bomb这说明func4的返回值必须是0。而func4在找到目标时返回0所以你的输入必须让func4能够找到目标。同时phase_4还会检查第二个数字是否等于某个值。比如cmpl $0x3,0xc(%rsp) je 0x40105f call explode_bomb这说明第二个数字必须是3。6.4 逆向递归的技巧逆向递归函数时我习惯先把它翻译成伪代码。比如上面的func4可以写成int func4(int target, int low, int high) { int mid low (high - low) / 2; if (mid target) { return 2 * func4(target, low, mid - 1) 1; } else if (mid target) { return 2 * func4(target, mid 1, high) 1; } else { return 0; } }有了伪代码你就能清楚地看到只有当target等于某个特定的中间值时返回值才是0。你可以手动模拟二分查找的过程找到那个target。提示有些func4的返回值不是0而是其他值。这时候你需要根据phase_4里的比较条件反推。比如如果phase_4要求返回值等于某个数你就需要找到能让func4返回那个数的target。6.5 验证方法在gdb里你可以在func4的入口下断点然后单步执行观察每次递归调用时参数的变化。peda会自动显示寄存器和栈非常方便。如果你看到mid和target相等时返回0那就说明你找对了。7. 第五关位运算与字符编码7.1 位运算的常见模式第五关通常会涉及位运算比如按位与、按位异或、移位等。这些运算在汇编里表现为and、xor、shl、shr等指令。典型的phase_5会要求你输入一个字符串然后对每个字符做某种变换最后和一个目标数组比较。比如movzbl (%rbx),%eax and $0xf,%eax mov 0x4024b0(,%rax,4),%ecx这段代码的意思是取输入字符串的一个字符和0xf做按位与得到一个0到15之间的索引然后用这个索引去查一个表0x4024b0取出对应的值。7.2 查表与目标数组0x4024b0处通常是一个字符数组长度是16。你可以用gdb查看x/16cb 0x4024b0这会打印出16个字符。然后程序会把查表得到的字符存到一个缓冲区里最后和另一个目标字符串比较。你的任务就是找到一组输入字符使得经过“取低4位、查表”之后得到的字符串等于目标字符串。7.3 逆向构造输入逆向的方法很简单对于目标字符串的每个字符在表中找到它的位置索引然后构造一个低4位等于该索引的输入字符。比如目标字符串的第一个字符是‘f’而‘f’在表中的索引是9那么你的输入字符的低4位必须是9。你可以选‘i’ASCII 0x69低4位是9也可以选‘y’0x79低4位也是9。通常选一个可打印字符就行。实操心得第五关的输入通常是一个6个字符的字符串。你可以逐个字符构造然后在gdb里验证。注意有些炸弹会检查输入字符串的长度如果长度不对会直接爆炸。7.4 常见坑点位运算的优先级容易搞混。比如and $0xf,%eax和and $0xf0,%eax是完全不同的。前者取低4位后者取高4位。看反汇编的时候一定要看清楚立即数是多少。另外有些炸弹会用movzbl而不是mov这意味着它只取一个字节高位补零。如果你用mov可能会把相邻的字节也读进来导致分析错误。8. 第六关链表排序与指针操作8.1 链表结构的识别第六关通常是整个炸弹里最复杂的一关涉及链表。程序里会预置一个链表每个节点包含一个数值和一个指向下一个节点的指针。你的任务是输入6个数字程序会根据这些数字重新排列链表然后检查排列后的链表是否满足某种顺序比如降序。链表的节点在内存里通常是这样的结构struct node { int value; // 偏移0 int index; // 偏移4 struct node *next; // 偏移8 };在汇编里你会看到类似mov 0x8(%rax),%rax的指令这就是在取next指针。8.2 分析排序逻辑phase_6通常分两段第一段根据你输入的数字重新排列链表第二段检查排列后的链表是否按降序排列。第一段的逻辑通常是对于每个输入数字n找到链表中第n个节点然后把这些节点按输入顺序重新链接。比如输入“3 1 5 2 4 6”就会把第3个节点放在最前面第1个节点放在第二位以此类推。第二段的逻辑是遍历重新排列后的链表检查每个节点的value是否大于下一个节点的value。如果是继续否则爆炸。8.3 逆向求解求解第六关的步骤用gdb查看链表中每个节点的value。链表头指针通常存在某个全局变量里你可以在phase_6的反汇编里找到它。把节点按value从大到小排序记下它们的原始索引。你的输入就是这些索引的某种排列但要注意程序可能对输入做了变换比如用7减去输入值。在gdb里验证。我遇到过一个变种程序会先用7减去你输入的每个数字然后再用结果去索引链表。这种情况下你需要先做逆变换。注意第六关的输入数字必须在1到6之间而且不能重复。如果输入了0、7或者重复的数字程序会直接爆炸。8.4 链表遍历的调试技巧在gdb里遍历链表可以用x命令配合$raxx/3gx $rax这会打印当前节点的value、index和next指针。然后你可以用x/3gx *(void**)($rax8)来查看下一个节点。重复这个过程直到next为0。peda有一个很方便的功能如果你用p命令打印一个指针它会自动显示指向的内容。比如p *(struct node*)$rax不过前提是你知道结构体的定义。9. 隐藏关卡拆弹之外的额外挑战9.1 隐藏关卡的触发条件很多炸弹有一个隐藏关卡secret phase不会在main函数的循环里直接调用。触发条件通常是在某一关通常是第四关输入一个特定的字符串比如“DrEvil”。这个字符串通常藏在程序的某个角落里你可以用strings命令找到它。如果你在第四关输入了这个字符串程序会额外调用secret_phase。9.2 隐藏关卡的分析隐藏关卡通常涉及一棵二叉搜索树BST。程序里预置了一棵树每个节点有一个值。你的任务是输入一个数字使得程序在树中查找这个数字时能够找到并且返回值满足某个条件。分析方法和第四关的递归类似先搞清楚树的遍历逻辑然后反推需要的输入值。9.3 是否要拆隐藏关卡隐藏关卡通常是加分项不是必做项。如果你时间充裕可以挑战一下如果时间紧张先把必做关卡搞定。我当年是先拆完所有必做关卡确认没问题后才回头研究隐藏关卡的。实操心得隐藏关卡的答案通常是一个不太大的数字因为树的高度有限。你可以手动模拟查找过程或者写一个小脚本来遍历树。10. 常见问题与排查技巧实录10.1 输入正确但总是爆炸这是最常见的问题。可能的原因有现象可能原因解决方法输入看起来正确但爆炸输入格式不对检查是否需要空格分隔、是否有换行符某一关反复爆炸对规律理解有偏差在gdb里单步执行观察每次比较的值所有关卡都爆炸炸弹文件不对确认你运行的是正确的炸弹文件输入后程序无响应程序在等待更多输入检查是否有隐藏的输入要求10.2 gdb断点不生效有时候你下了断点但程序没有停下来。可能的原因有地址不对。确认你用的地址是程序实际加载的地址。如果是PIE位置无关可执行文件地址会随机化。可以用set disable-randomization on关闭地址随机化。断点下在了错误的函数里。确认你断的是phase_1而不是phase_2。程序在断点之前就爆炸了。检查是否有前置检查。10.3 反汇编代码看不懂这是新手最常见的问题。我的建议是第一先看C代码。如果你能找到炸弹的源代码有些课程会提供对照着看汇编会容易很多。第二从简单的关卡开始。第一关和第二关的汇编通常很短适合练手。第三善用gdb的disassemble命令。它可以显示当前函数的完整反汇编比objdump的输出更整洁。第四把汇编翻译成伪代码。不需要很精确只要把控制流和数据流理清楚就行。10.4 时间不够怎么办拆炸弹确实很耗时间尤其是第六关和隐藏关卡。如果你时间紧张可以优先拆必做关卡隐藏关卡放最后。和同学讨论思路但不要直接抄答案。讨论可以帮助你快速定位问题。善用网络资源。很多博客和论坛有详细的拆弹教程但要注意不同炸弹的答案可能不同不要直接照搬。提示拆炸弹的目的是学习不是完成任务。即使你看了别人的答案也要自己动手验证一遍确保真正理解了背后的原理。11. 拆弹之后的收获与延伸拆完一个二进制炸弹你对计算机系统的理解会上一个台阶。你会真正明白寄存器不是抽象概念而是实实在在的存储单元栈帧不是课本上的图而是内存里真实存在的结构过程调用不是一句话而是一系列精心设计的指令序列。如果你想继续深入可以尝试以下方向第一自己写一个炸弹。设计几个关卡编译成可执行文件让同学来拆。这个过程会让你从出题人的角度理解程序的结构。第二研究编译器的优化。同样的C代码开不同优化级别-O0、-O1、-O2生成的汇编差异很大。对比这些差异能帮你更好地理解编译器的工作原理。第三学习逆向工程的其他工具。gdb只是入门还有IDA Pro、Ghidra等更强大的工具。虽然这些工具主要用于安全分析但学习它们能让你对程序的理解更加深入。我个人在实际操作中的体会是拆炸弹最难的从来不是某一关的具体逻辑而是耐心和系统性。你需要一关一关地啃每一步都要验证不能靠猜。当你最终看到“Congratulations! Youve defused the bomb!”的时候那种成就感是任何考试分数都换不来的。 
长河君 · 2026/10/21 18:27:19 · 阅读 1.2k 二进制炸弹实验拆解全攻略：从反汇编到隐藏关卡的逆向工程实战
1. 拆弹之前这个实验到底在练什么如果你正在读计算机相关专业大概率听说过“二进制炸弹”这个实验。它最早源自某知名高校的计算机系统课程后来被国内很多高校引入到计算机系统基础或汇编语言相关的实验环节中。简单说这个实验给你一个编译好的可执行文件里面埋了若干个“关卡”每一关都要求你输入特定的字符串或数字。输错了程序就“爆炸”——轻则扣分重则直接结束。你的任务就是通过反汇编和调试搞清楚每一关到底在验证什么然后构造出正确的输入。这个实验之所以经典是因为它逼着你把课堂上学的那些东西真正用起来汇编代码阅读、寄存器状态分析、栈帧结构理解、过程调用约定、循环与递归的机器级表示。这些东西光看书是学不会的必须亲手拆几个“炸弹”才能形成肌肉记忆。我当年做这个实验的时候前前后后花了将近两周踩了无数坑。后来帮学弟学妹看代码发现大家卡住的地方其实高度相似。所以我把整个拆弹过程重新梳理了一遍把每一关的核心考点、分析思路、实操命令和避坑经验都整理出来。无论你用的是哪种调试工具无论你的炸弹有几个关卡这套方法论都能直接套用。注意本文所有分析基于常见的x86-64架构和GCC编译产物不同环境下的具体指令可能有差异但分析思路完全通用。2. 拆弹前的环境准备与工具选型2.1 你需要哪些工具拆二进制炸弹本质上就是静态分析加动态调试两条腿走路。静态分析靠反汇编器动态调试靠调试器。我试过好几种组合下面这套是最顺手的工具用途推荐理由objdump反汇编系统自带无需安装适合快速查看整体结构gdb动态调试功能强大可以单步执行、查看寄存器、修改内存gdb-pedagdb增强插件自动显示寄存器、栈、反汇编大幅提升效率strings提取字符串快速定位程序中的提示信息和可疑常量xxd十六进制查看查看二进制文件中的原始数据如果你在Linux环境下这些工具基本都预装了最多装一个gdb-peda。Windows下可以用WSL体验几乎一样。2.2 拿到炸弹后的第一步拿到炸弹文件后先别急着反汇编。我习惯先做三件事第一用file命令确认文件类型和架构。这一步很关键因为它决定了你后面用32位还是64位的分析思路。比如输出里如果有“ELF 64-bit LSB executable, x86-64”那就说明是64位程序寄存器以r开头参数传递用rdi、rsi、rdx等。第二用strings命令提取所有可打印字符串。这一步经常能捡到宝。比如有些关卡会直接告诉你“输入两个数字”有些会暴露比较用的常量字符串。虽然不一定直接给出答案但能帮你快速理解每一关的意图。第三用objdump -d把整个程序反汇编出来保存到一个文本文件里。这样你可以用编辑器搜索、跳转比在终端里翻页效率高得多。命令大概是这样的objdump -d bomb bomb.asm然后打开bomb.asm先看main函数。main函数里通常会有一个循环依次调用每一关的函数。找到这些函数的地址和名字你就有了整个炸弹的“地图”。2.3 调试器的基本配置gdb是拆弹的主力工具。开始之前建议在home目录下建一个.gdbinit文件内容如下set disassembly-flavor intel set pagination off第一行让反汇编用Intel格式比ATT格式好读得多。第二行关闭分页避免每次输出都要按回车。如果你装了peda启动gdb后会自动加载。peda的好处是每次停下来都会显示寄存器、栈、当前指令附近的代码省去了手动敲info registers和x/20x $rsp的麻烦。实操心得我习惯在gdb里用b *0x地址下断点而不是用函数名。因为炸弹程序往往 stripped 了符号表函数名可能看不到。通过objdump找到的地址是最可靠的。3. 第一关字符串比较的经典套路3.1 反汇编里找线索第一关通常是送分题但也是建立信心的关键。用objdump找到phase_1的地址然后看它的反汇编代码。典型的phase_1长这样sub $0x8,%rsp mov $0x402400,%esi call 0x401338 strings_not_equal test %eax,%eax je 0x400ef7 phase_10x17 call 0x40143a explode_bomb add $0x8,%rsp ret这段代码的逻辑非常清晰把某个地址0x402400放进esi寄存器然后调用strings_not_equal函数比较你输入的字符串和那个地址处的字符串。如果相等eax为0就跳转跳过爆炸否则调用explode_bomb。所以答案就藏在0x402400这个地址里。你只需要在gdb里运行炸弹断在phase_1然后查看那个地址的内容x/s 0x402400gdb会打印出那个地址处的字符串那就是第一关的答案。3.2 为什么是esi而不是edi这里涉及x86-64的过程调用约定。strings_not_equal有两个参数第一个参数是你输入的字符串在rdi里第二个参数是目标字符串在esi里。rdi在调用read_line之后就已经指向你的输入了所以phase_1只需要把目标字符串的地址放进esi。如果你看到的是mov $0x402400,%esi而不是%rdi不要觉得奇怪。这说明函数作者把“用户输入”作为第一个参数“正确答案”作为第二个参数。你只需要关注那个立即数地址就行了。3.3 常见坑点有些炸弹的第一关不是直接比较字符串而是对输入做了某种变换再比较。比如把每个字符加1或者反转字符串。这时候你光看strings_not_equal的调用是不够的需要看它前面有没有循环或运算指令。我遇到过一个变种phase_1里有一个循环逐个字符把输入转换后再比较。这种情况下你需要逆向那个转换逻辑然后对目标字符串做逆变换才能得到答案。判断方法很简单如果phase_1的反汇编代码明显比上面那段长而且有循环结构那就不是简单的字符串比较。提示第一关的答案通常是一个有意义的英文短语比如“Public speaking is very easy.”之类的。如果你解出来的字符串看起来像乱码大概率是搞错了。4. 第二关循环与数组的机器级表示4.1 识别循环结构第二关通常要求输入6个数字然后程序会对这些数字做一系列检查。反汇编代码里会出现明显的循环结构典型特征是有cmp、jle、jmp等指令构成的回边。我习惯先看phase_2的整体结构找到循环的边界。通常会有两个循环第一个循环读取6个数字到栈上的数组第二个循环检查数组元素之间的关系。读取数字的部分通常长这样lea 0x10(%rsp),%rsi mov %rsp,%rdi call read_six_numbersread_six_numbers是一个辅助函数内部调用sscanf或类似的函数把输入解析成6个整数存到从rsp开始的连续内存里。每个整数占4个字节所以6个整数占24字节。4.2 分析检查逻辑检查逻辑是第二关的核心。常见的模式是第一个数字必须是某个值然后后面的每个数字是前一个数字的倍数或加上某个常数。比如有一段典型的代码mov (%rsp),%eax cmp $0x1,%eax je 0x400f30 call explode_bomb这说明第一个数字必须是1。然后mov -0x4(%rbx),%eax add %eax,%eax cmp %eax,(%rbx) je 0x400f25 call explode_bomb这段代码的意思是当前数字(%rbx)必须等于前一个数字-0x4(%rbx)的两倍。所以如果第一个是1第二个就是2第三个是4以此类推。4.3 手动验证与构造答案分析出规律后不要急着输入。先在纸上或编辑器里把6个数字算出来然后在gdb里验证。验证方法在phase_2的检查循环开始前下断点运行炸弹输入你构造的数字。然后单步执行观察每次比较时eax和内存里的值是否如你预期。如果某一步比较失败就说明你对规律的理解有偏差需要回头重新看反汇编。实操心得第二关的数字通常不会太大因为程序里往往用add %eax,%eax这种翻倍操作。如果算出来的数字超过了几百就要怀疑是不是理解错了。另外注意数字的符号有些炸弹用的是有符号比较jg、jl有些用的是无符号比较ja、jb这会影响你对数字范围的判断。4.4 一个容易忽略的细节read_six_numbers的返回值经常被忽略。这个函数返回成功读取的数字个数。如果返回值小于6程序会直接爆炸。所以你的输入必须包含至少6个数字而且格式要正确。通常用空格分隔就行比如“1 2 4 8 16 32”。有些炸弹对输入格式很挑剔比如要求数字之间用空格而不是逗号。如果你确认逻辑没问题但总是爆炸可以检查一下输入格式。5. 第三关跳转表与switch-case的逆向5.1 跳转表的识别第三关通常会引入switch-case结构在汇编层面表现为跳转表jump table。这是很多同学第一次遇到跳转表容易懵。跳转表的典型特征是有一段代码用jmp *0x402470(,%rax,8)这样的指令。这里的0x402470是跳转表的基地址%rax是索引8是每个表项的大小64位系统上指针是8字节。在gdb里你可以这样查看跳转表的内容x/8gx 0x402470这会打印出8个8字节的值每个值都是一个代码地址。这些地址就是各个case分支的入口。5.2 逆向每个分支跳转表本身不复杂复杂的是每个case分支里的逻辑。通常每个分支会做两件事把某个值放进eax作为该分支的“结果”然后跳转到统一的比较点。比如0x400f7c: mov $0xcf,%eax 0x400f81: jmp 0x400fbe 0x400f83: mov $0x2c3,%eax 0x400f88: jmp 0x400fbe每个分支给eax赋不同的值最后在0x400fbe处比较eax和你输入的第二个数字。如果相等这一关就过了。所以你需要做的是确定第一个数字通常是索引然后找到对应分支给eax赋的值那个值就是第二个数字。5.3 索引的确定第一个数字往往不是随便选的。在跳转之前程序通常会检查第一个数字是否在合法范围内。比如sub $0x1,%eax cmp $0x7,%eax ja 0x400fad这说明第一个数字减1后必须小于等于7也就是说第一个数字的范围是1到8。如果你输入0或9程序会直接爆炸。注意这里的ja是无符号比较。如果第一个数字是负数减1后会变成一个很大的无符号数也会触发爆炸。所以第一个数字必须是正数。5.4 实操步骤总结第三关的拆解流程可以固化为在gdb里运行到phase_3查看跳转表地址和内容。确定第一个数字的合法范围。选择一个索引找到对应分支给eax赋的值。构造输入“索引 值”在gdb里验证。如果爆炸换一个索引重试。我通常会选第一个合法索引因为这样最容易定位。比如范围是1到8我就选1然后看case 1给eax赋了什么值。实操心得有些炸弹的第三关有多个正确答案因为跳转表里可能有多个分支给eax赋了相同的值。你只需要找到一个正确的组合就行。另外注意输入格式通常是“数字 数字”中间用空格分隔。6. 第四关递归函数的逆向分析6.1 识别递归第四关通常会引入一个递归函数比如func4。递归在汇编层面的特征是函数内部有call func4的指令也就是自己调用自己。看到递归不要慌。递归的本质是数学归纳法你只需要搞清楚三件事基准情况是什么递归关系是什么返回值怎么用。6.2 分析func4的结构典型的func4长这样func4: sub $0x8,%rsp mov %edx,%eax sub %esi,%eax mov %eax,%ecx shr $0x1f,%ecx add %ecx,%eax sar %eax add %esi,%eax cmp %edi,%eax jg 0x400ff2 jl 0x400ffc mov $0x0,%eax add $0x8,%rsp ret这段代码看起来复杂但拆开看就清楚了。它实际上是在做二分查找eax是中间值如果中间值大于目标edi就递归搜索左半部分如果小于就递归搜索右半部分如果相等返回0。6.3 确定输入条件phase_4通常会调用func4然后检查返回值。比如mov $0xe,%edx mov $0x0,%esi mov 0x8(%rsp),%edi call func4 cmp $0x0,%eax je 0x401058 call explode_bomb这说明func4的返回值必须是0。而func4在找到目标时返回0所以你的输入必须让func4能够找到目标。同时phase_4还会检查第二个数字是否等于某个值。比如cmpl $0x3,0xc(%rsp) je 0x40105f call explode_bomb这说明第二个数字必须是3。6.4 逆向递归的技巧逆向递归函数时我习惯先把它翻译成伪代码。比如上面的func4可以写成int func4(int target, int low, int high) { int mid low (high - low) / 2; if (mid target) { return 2 * func4(target, low, mid - 1) 1; } else if (mid target) { return 2 * func4(target, mid 1, high) 1; } else { return 0; } }有了伪代码你就能清楚地看到只有当target等于某个特定的中间值时返回值才是0。你可以手动模拟二分查找的过程找到那个target。提示有些func4的返回值不是0而是其他值。这时候你需要根据phase_4里的比较条件反推。比如如果phase_4要求返回值等于某个数你就需要找到能让func4返回那个数的target。6.5 验证方法在gdb里你可以在func4的入口下断点然后单步执行观察每次递归调用时参数的变化。peda会自动显示寄存器和栈非常方便。如果你看到mid和target相等时返回0那就说明你找对了。7. 第五关位运算与字符编码7.1 位运算的常见模式第五关通常会涉及位运算比如按位与、按位异或、移位等。这些运算在汇编里表现为and、xor、shl、shr等指令。典型的phase_5会要求你输入一个字符串然后对每个字符做某种变换最后和一个目标数组比较。比如movzbl (%rbx),%eax and $0xf,%eax mov 0x4024b0(,%rax,4),%ecx这段代码的意思是取输入字符串的一个字符和0xf做按位与得到一个0到15之间的索引然后用这个索引去查一个表0x4024b0取出对应的值。7.2 查表与目标数组0x4024b0处通常是一个字符数组长度是16。你可以用gdb查看x/16cb 0x4024b0这会打印出16个字符。然后程序会把查表得到的字符存到一个缓冲区里最后和另一个目标字符串比较。你的任务就是找到一组输入字符使得经过“取低4位、查表”之后得到的字符串等于目标字符串。7.3 逆向构造输入逆向的方法很简单对于目标字符串的每个字符在表中找到它的位置索引然后构造一个低4位等于该索引的输入字符。比如目标字符串的第一个字符是‘f’而‘f’在表中的索引是9那么你的输入字符的低4位必须是9。你可以选‘i’ASCII 0x69低4位是9也可以选‘y’0x79低4位也是9。通常选一个可打印字符就行。实操心得第五关的输入通常是一个6个字符的字符串。你可以逐个字符构造然后在gdb里验证。注意有些炸弹会检查输入字符串的长度如果长度不对会直接爆炸。7.4 常见坑点位运算的优先级容易搞混。比如and $0xf,%eax和and $0xf0,%eax是完全不同的。前者取低4位后者取高4位。看反汇编的时候一定要看清楚立即数是多少。另外有些炸弹会用movzbl而不是mov这意味着它只取一个字节高位补零。如果你用mov可能会把相邻的字节也读进来导致分析错误。8. 第六关链表排序与指针操作8.1 链表结构的识别第六关通常是整个炸弹里最复杂的一关涉及链表。程序里会预置一个链表每个节点包含一个数值和一个指向下一个节点的指针。你的任务是输入6个数字程序会根据这些数字重新排列链表然后检查排列后的链表是否满足某种顺序比如降序。链表的节点在内存里通常是这样的结构struct node { int value; // 偏移0 int index; // 偏移4 struct node *next; // 偏移8 };在汇编里你会看到类似mov 0x8(%rax),%rax的指令这就是在取next指针。8.2 分析排序逻辑phase_6通常分两段第一段根据你输入的数字重新排列链表第二段检查排列后的链表是否按降序排列。第一段的逻辑通常是对于每个输入数字n找到链表中第n个节点然后把这些节点按输入顺序重新链接。比如输入“3 1 5 2 4 6”就会把第3个节点放在最前面第1个节点放在第二位以此类推。第二段的逻辑是遍历重新排列后的链表检查每个节点的value是否大于下一个节点的value。如果是继续否则爆炸。8.3 逆向求解求解第六关的步骤用gdb查看链表中每个节点的value。链表头指针通常存在某个全局变量里你可以在phase_6的反汇编里找到它。把节点按value从大到小排序记下它们的原始索引。你的输入就是这些索引的某种排列但要注意程序可能对输入做了变换比如用7减去输入值。在gdb里验证。我遇到过一个变种程序会先用7减去你输入的每个数字然后再用结果去索引链表。这种情况下你需要先做逆变换。注意第六关的输入数字必须在1到6之间而且不能重复。如果输入了0、7或者重复的数字程序会直接爆炸。8.4 链表遍历的调试技巧在gdb里遍历链表可以用x命令配合$raxx/3gx $rax这会打印当前节点的value、index和next指针。然后你可以用x/3gx *(void**)($rax8)来查看下一个节点。重复这个过程直到next为0。peda有一个很方便的功能如果你用p命令打印一个指针它会自动显示指向的内容。比如p *(struct node*)$rax不过前提是你知道结构体的定义。9. 隐藏关卡拆弹之外的额外挑战9.1 隐藏关卡的触发条件很多炸弹有一个隐藏关卡secret phase不会在main函数的循环里直接调用。触发条件通常是在某一关通常是第四关输入一个特定的字符串比如“DrEvil”。这个字符串通常藏在程序的某个角落里你可以用strings命令找到它。如果你在第四关输入了这个字符串程序会额外调用secret_phase。9.2 隐藏关卡的分析隐藏关卡通常涉及一棵二叉搜索树BST。程序里预置了一棵树每个节点有一个值。你的任务是输入一个数字使得程序在树中查找这个数字时能够找到并且返回值满足某个条件。分析方法和第四关的递归类似先搞清楚树的遍历逻辑然后反推需要的输入值。9.3 是否要拆隐藏关卡隐藏关卡通常是加分项不是必做项。如果你时间充裕可以挑战一下如果时间紧张先把必做关卡搞定。我当年是先拆完所有必做关卡确认没问题后才回头研究隐藏关卡的。实操心得隐藏关卡的答案通常是一个不太大的数字因为树的高度有限。你可以手动模拟查找过程或者写一个小脚本来遍历树。10. 常见问题与排查技巧实录10.1 输入正确但总是爆炸这是最常见的问题。可能的原因有现象可能原因解决方法输入看起来正确但爆炸输入格式不对检查是否需要空格分隔、是否有换行符某一关反复爆炸对规律理解有偏差在gdb里单步执行观察每次比较的值所有关卡都爆炸炸弹文件不对确认你运行的是正确的炸弹文件输入后程序无响应程序在等待更多输入检查是否有隐藏的输入要求10.2 gdb断点不生效有时候你下了断点但程序没有停下来。可能的原因有地址不对。确认你用的地址是程序实际加载的地址。如果是PIE位置无关可执行文件地址会随机化。可以用set disable-randomization on关闭地址随机化。断点下在了错误的函数里。确认你断的是phase_1而不是phase_2。程序在断点之前就爆炸了。检查是否有前置检查。10.3 反汇编代码看不懂这是新手最常见的问题。我的建议是第一先看C代码。如果你能找到炸弹的源代码有些课程会提供对照着看汇编会容易很多。第二从简单的关卡开始。第一关和第二关的汇编通常很短适合练手。第三善用gdb的disassemble命令。它可以显示当前函数的完整反汇编比objdump的输出更整洁。第四把汇编翻译成伪代码。不需要很精确只要把控制流和数据流理清楚就行。10.4 时间不够怎么办拆炸弹确实很耗时间尤其是第六关和隐藏关卡。如果你时间紧张可以优先拆必做关卡隐藏关卡放最后。和同学讨论思路但不要直接抄答案。讨论可以帮助你快速定位问题。善用网络资源。很多博客和论坛有详细的拆弹教程但要注意不同炸弹的答案可能不同不要直接照搬。提示拆炸弹的目的是学习不是完成任务。即使你看了别人的答案也要自己动手验证一遍确保真正理解了背后的原理。11. 拆弹之后的收获与延伸拆完一个二进制炸弹你对计算机系统的理解会上一个台阶。你会真正明白寄存器不是抽象概念而是实实在在的存储单元栈帧不是课本上的图而是内存里真实存在的结构过程调用不是一句话而是一系列精心设计的指令序列。如果你想继续深入可以尝试以下方向第一自己写一个炸弹。设计几个关卡编译成可执行文件让同学来拆。这个过程会让你从出题人的角度理解程序的结构。第二研究编译器的优化。同样的C代码开不同优化级别-O0、-O1、-O2生成的汇编差异很大。对比这些差异能帮你更好地理解编译器的工作原理。第三学习逆向工程的其他工具。gdb只是入门还有IDA Pro、Ghidra等更强大的工具。虽然这些工具主要用于安全分析但学习它们能让你对程序的理解更加深入。我个人在实际操作中的体会是拆炸弹最难的从来不是某一关的具体逻辑而是耐心和系统性。你需要一关一关地啃每一步都要验证不能靠猜。当你最终看到“Congratulations! Youve defused the bomb!”的时候那种成就感是任何考试分数都换不来的。