MIPS 反汇编拆炸弹：延迟槽、跳转表与 QEMU/GDB 调试

第一次拿到一个 MIPS 架构的 bomb 二进制时我的第一反应是——网上能搜到的拆炸弹笔记九成都是 x86 的讲的是$eip、call/ret、栈帧对齐而摆在我面前的是一份objdump -d输出满屏$t0、$a0、jr $ra还有一堆躲在跳转指令后面的nop。地址对不上函数名对不上连这条分支到底跳没跳都要愣一下才反应过来。MIPS 反汇编拆炸弹这件事难点从来不在看不懂汇编而在于你脑子里的那套 x86 直觉在这里会持续给你错误答案。这篇东西就是我完整拆一遍 MIPS 版 bomb 的过程记录怎么从一份没有符号表的反汇编里把六个关卡一个个定位出来怎么读延迟槽怎么用 qemu 挂 gdb 多架构调试把静态推理变成寄存器里的实证以及哪些坑我实打实卡了半天。适合正在做体系结构/汇编课程实验的人也适合任何想练习 MIPS 反汇编阅读的同行——即使你手上不是炸弹实验纯逆向一个 MIPS 程序这套路子也是一样的。1. 先看清战场MIPS 版炸弹和 x86 版完全不是一类东西1.1 bomb 的骨架其实非常朴素抛开架构差异这类实验程序的整体结构简单得不像话一个main循环调用phase_1到phase_6每一关通过read_line读一行输入交给一个phase_n函数做校验校验失败就调explode_bomb打印一句引信触发信息然后退出成功则打印一句提示进入下一关。除此之外还有几个辅助函数strings_not_equal、string_length、read_six_numbers以及隐藏关相关的phase_defused。搞清楚这张函数关系图比逐条读懂指令重要得多。我在动手之前会先做一件事把objdump -d的输出全部导出到文件然后用grep搜explode_bomb的所有调用点。理由很直接——谁调用爆炸函数谁就是关卡校验逻辑的所在。这一招在任何架构上都成立但在 MIPS 上尤其好用因为jal后面跟的是绝对地址objdump会贴心地把它翻译成jal 400f20 explode_bomb一目了然。mips-linux-gnu-objdump -d ./bomb bomb.asm grep -n explode_bomb bomb.asm执行完你会得到一张调用清单大致长这样调用位置所属函数含义phase_10x34phase_1字符串比较失败phase_20x6cphase_2首元素不为 1phase_30x88phase_3序号越界phase_60x1c0phase_6链表节点值不满足降序phase_defused0x74phase_defused隐藏关输入不匹配这张表就是你的作战地图。有了它你甚至不需要先看main就能知道程序里有几个校验点、分别在哪。1.2 MIPS 让你栽跟头的四个点第一个是分支延迟槽。MIPS 的经典五级流水线设计决定了一条铁律跳转指令后面的那一条指令无论跳不跳都会先执行。也就是说beq $v0, $zero, label的下一条指令不是跳转失败才执行而是永远执行。这在反汇编里的表现是编译器会把一条有用的指令塞进延迟槽你如果按顺序阅读会觉得这条指令怎么在这个位置。我见过最常见的误判就是jal strings_not_equal后面跟着addiu $a1, $a1, 0x10c0新手会以为调用完了才设置参数那参数岂不是错的——恰恰相反它在调用之前就生效了只是排版上排在了后面。第二个是**$ra的语义**。jal label执行时把返回地址实际上是指向下下条指令因为要跨过延迟槽写进$ra。所以任何一个非叶子函数进门第一件事几乎必然是sw $ra, N($sp)把返回地址存栈。你在反汇编里看到addiu $sp,$sp,-0x20紧跟sw $ra,0x1c($sp)这就是函数入口的标志性动作比找lui靠谱得多。第三个是**$gp全局指针和 PIC 寻址**。位置无关代码里全局变量、字符串常量、跳转表通常通过$gp相对寻址访问反汇编出来是lw $v0, -0x7f30($gp)这种鬼东西。你得先在_ftext/__gnu_local_gp附近找到$gp的初始化值通常是lui $gp,0x%hi(...)加addiu $gp,$gp,%lo(...)才能把-0x7f30($gp)换算成真实地址。这一步不做跳转表你永远算不对。第四个是伪指令。li、la、move、b、beqz、blt、bgt、mul、rem、not全是汇编器造出来的假指令机器码里根本不存在。objdump默认会帮你还原但li $t0, 0x12345678在机器码里其实是两条lui $t0,0x1234加ori $t0,$t0,0x5678。你要做二进制补丁的时候必须记着这一点否则改出来的东西是废的。1.3 动手前先跑 readelf别猜端序MIPS 有大端mips和小端mipsel两个世界教材上的 MIPS 多半是大端但很多实验环境给的是小端。搞错了端序你读.rodata里的字符串会得到一堆乱码然后开始怀疑人生。file ./bomb readelf -h ./bomb | head -20readelf -h里会明明白白写着Data: 2s complement, big endian或little endian同时告诉你Class: ELF32、Machine: MIPS R3000。这三行信息决定了后面所有工作的走向用哪个 qemuqemu-mips还是qemu-mipsel、用哪个 objdumpmips-linux-gnu-objdump还是mipsel-linux-gnu-objdump、Ghidra 里选哪个语言MIPS:BE:32:default还是MIPS:LE:32:default。提示工具链和二进制端序不匹配时objdump不会报错它只会给你一份完全错误的指令流。看到0x00000000密集出现、指令前缀全是sdl、ldc1这种冷门指令八成就是端序搞反了。2. 静态分析把 objdump 输出读成一张能导航的地图2.1 认栈帧prologue 和 epilogue 是唯一可靠的锚点MIPS 没有push/pop也没有enter/leave函数入口和出口全靠固定套路。我总结了一个几乎是模板级的判断法00400c40 phase_3: 400c40: 27bdffc8 addiu sp,sp,-56 # 开栈帧56 字节 400c44: afbf0034 sw ra,52(sp) # 存返回地址 400c48: afb20030 sw s2,48(sp) # 存被调用者保存寄存器 400c4c: afb1002c sw s1,44(sp) 400c50: afb00028 sw s0,40(sp) ... 400c9c: 8fbf0034 lw ra,52(sp) # 恢复 400ca0: 8fb20030 lw s2,48(sp) 400ca4: 8fb1002c lw s1,44(sp) 400ca8: 8fb00028 lw s0,40(sp) 400cac: 03e00008 jr ra 400cb0: 27bd0038 addiu sp,sp,56 # 延迟槽里恢复栈指针注意最后两条jr $ra后面那个addiu sp,sp,56就是在延迟槽里执行的。这个模式一旦认出来整个二进制里所有函数边界你都能扫出来——jr $ra加一个延迟槽里的addiu sp,sp,N就是函数结尾。再顺手记一下 o32 ABI 的寄存器分工这在读参数时是硬知识寄存器别名用途保存方$zero$0恒为 0写入无效—$v0-$v1$2-$3返回值、系统调用号调用方$a0-$a3$4-$7前四个整型参数调用方$t0-$t9$8-$15,$24-$25临时寄存器调用方$s0-$s7$16-$23跨调用保持的变量被调用方$sp/$fp/$ra$29/$30/$31栈顶/帧指针/返回地址特殊这里有个特别实用的推论看到$s0到$s7被使用说明这个函数里有需要跨越函数调用保持的局部变量通常是循环计数器或数组基址。反过来如果某个函数里只有$t系列和$a系列那它大概率是个叶子函数逻辑也简单可以快速扫过。2.2 立刻做的一件事定位read_line和read_six_numbersread_line是所有关卡的入口标志。每个phase_n的第一件事基本都是jal read_line然后把返回值$v0搬到$a0作为参数继续处理。所以你在phase_1里看到400a2c: jal 400b80 read_line 400a30: nop 400a34: move a0,v0 400a38: lui a1,0x40 400a3c: jal 400bc0 strings_not_equal 400a40: addiu a1,a1,0x10c0 # 延迟槽里补全 a1 的低 16 位这一小段已经把 phase_1 的全部秘密说完了读一行输入把输入指针放进$a0把常量字符串地址0x40000000 | 0x10c0 0x400010c0放进$a1然后调strings_not_equal。答案就在0x400010c0那个地址上。mips-linux-gnu-objdump -s -j .rodata ./bomb | head -40-s会把.rodata段按十六进制 dump 出来配合地址一对照字符串就出来了。大端机器上字符顺序直接读小端机器上要注意一个字节一个字节看别整段倒过来——字节序影响的是多字节整数不是字符串本身这一点很多人会搞反。2.3 常量还原luiori的拆解心算MIPS 的立即数只有 16 位加载一个 32 位常量必须两条指令。看到lui $t0, 0x0040后面跟ori $t0, $t0, 0x10c0拼起来就是0x004010c0。但编译器更常用addiu而不是ori来拼低半部分这时候如果低半部分最高位是 1addiu会做符号扩展结果会跟你手算的差0x10000。这个细节在还原跳转表地址时坑过我一次算出来的表地址偏了 64KB读出来的全是垃圾数据。判断方法很简单如果lui的值比目标地址的高 16 位小 1那就是用了addiu的符号扩展套路。比如目标是0x00401200你可能会看到lui $t1, 0x0040加addiu $t1, $t1, 0x1200这个没问题但如果目标是0x0040f100可能会变成lui $t1, 0x0041加addiu $t1, $t1, -0x0f00。反汇编器通常会帮你显示成addiu $t1,$t1,-3840看到负数立即数就要警觉。2.4 交叉引用.rodata字符串、跳转表、数组各有什么特征.rodata里的东西按用途分三类形态完全不同字符串连续的 ASCII 字节末尾00结尾长度通常十几到几十字节。跳转表连续的 4 字节地址值个数等于 switch 分支数每个值都落在.text段的地址范围内。查找表/数组连续的 4 字节整数或 1 字节字符没有明显规律也不落在代码段。区分方法用readelf -S拿到.text的起止地址然后看.rodata里那段数据的每个 dword 是否落在代码段范围内。落进去的就是跳转表。这个判断我写成了一个小脚本一次跑完整个.rodataimport struct text_lo, text_hi 0x00400000, 0x00410000 data open(rodata.bin, rb).read() for off in range(0, len(data) - 4, 4): v struct.unpack(I, data[off:off4])[0] if text_lo v text_hi: print(foffset {off:#06x}: jump target {v:#010x})跑完你会立刻发现 phase_3 里那张表的位置和项数。3. 六关逐层剥开每一关到底在校验什么3.1 phase_1 与 phase_4从 strcmp 到递归的两种极端phase_1 是所有关卡里最友好的strings_not_equal的参数就是答案明文。但有个小陷阱某些版本的 bomb 会把答案字符串做一次简单变形比如逐字节异或某个常量再比较这时候你不能只看strings_not_equal得看它的调用者有没有提前处理过$a0或$a1。我遇到过的变形是在read_line之后来一段循环400a50: lb v0,0(s0) 400a54: beq v0,zero,400a78 400a58: xori v0,v0,0x2a # 每个字符异或 0x2a 400a5c: sb v0,0(s0) 400a60: addiu s0,s0,1 400a64: j 400a50 400a68: nop这种情况下答案是.rodata里那串密文再异或一次还原出来的明文。养成习惯看完比较函数回头看一眼它前面的循环。phase_4 是另一个极端。经典设计里它会调用一个func4递归函数输入一个整数返回一个值要求返回值等于某个常数。MIPS 递归函数的栈帧特别规整读起来反而比 x86 舒服00400e80 func4: 400e80: 27bdffd8 addiu sp,sp,-40 400e84: afbf0024 sw ra,36(sp) 400e88: afb20020 sw s2,32(sp) 400e8c: afb1001c sw s1,28(sp) 400e90: afb00018 sw s0,24(sp) 400e94: 00808021 move s0,a0 # s0 n 400e98: 1c800005 bgtz a0,400eb0 # if (n 0) return 0; 400e9c: 00001021 move v0,zero # 延迟槽v0 0 400ea0: 08003ba8 j 400eea func40x6a 400ea4: nop这里的关键信息全在寄存器搬运上move s0,a0说明参数n需要跨递归调用保持bgtz a0是出口条件延迟槽里的move v0,zero就是返回值 0。把这种模式按顺序翻译成 C 语言草稿比硬啃指令快得多。我一般会边读边在纸上写long func4(long n) { if (n 0) return 0; ... }写完再回头看jal func4的调用点看它传了什么参数、拿返回值跟什么比较答案的取值范围就出来了。phase_4 这种关卡如果没有数学直觉可以先用 Python 暴力枚举 0 到 10000把func4的逻辑照着写一遍跑出所有满足条件的解——通常会有好几个正确答案挑一个填进去就行。3.2 phase_2循环里的递推关系怎么读phase_2 的标志性动作是先调read_six_numbers然后立刻验证数组首元素是不是 1接着进一个循环。MIPS 的循环结构长得非常一致识别特征是末尾的slt加bne组合400b60: sll v0,s1,2 # v0 i * 4 400b64: addu v0,s0,v0 # v0 a[i] 400b68: lw a0,-4(v0) # a[i-1] 400b6c: lw a1,0(v0) # a[i] 400b70: sll a0,a0,1 # a[i-1] * 2 400b74: addu a1,a1,a0 400b78: sw a1,0(v0) 400b7c: addiu s1,s1,1 400b80: slti v0,s1,6 400b84: bne v0,zero,400b60 400b88: nop这段代码说的事很清楚a[i] 2 * a[i-1]然后 i 从 1 走到 5。但校验的其实不是这个更新后的值——循环只是修改了内存里的数组真正的校验通常在这一段之后重新读一遍数组去比。这是编译器的常见产物源码里可能是先算后比-O0下就变成先全部算完再逐项比较。读这种代码我的习惯是忽略中间过程直奔比较点。找到beq/bne后面跟explode_bomb的那几条看它们比较的是什么然后倒推 v0 是怎么算出来的。这样比顺着指令流一条条读快三倍。3.3 phase_3jr跳转表的还原方法phase_3 是 switch 语句MIPS 编译出来的形态固定得像教科书400c90: lw v0,24(sp) # 读第二个数 400c94: sltiu v0,v0,8 # 无符号与 8 比较num 7 400c98: beq v0,zero,400d10 # 越界就爆 400c9c: nop 400ca0: sll v0,v0,2 # v0 * 4 400ca4: lui v1,0x40 400ca8: addiu v1,v1,0x1200 # v1 表基址 400cac: addu v0,v0,v1 400cb0: lw v0,0(v0) # 取出目标地址 400cb4: jr v0 # 间接跳转 400cb8: nop注意sltiu而不是slti这是无符号比较说明源码里的判断条件写的是(unsigned)n 7编译器顺手把负数的情况也挡住了。这是个很好的验证点——如果你填了个负数进去程序会在跳转之前就爆说明你还没走对路。表在0x004012008 项每项 4 字节。读出 8 个地址后逐个跳过去看那一段在干什么。每一段基本都是 设置$v0为某个常量然后跳到统一比较点把$v0和第一个输入数比。把这些常量记下来就得到答案集合400d00: li v0,0x1a5 400d04: b 400d60 400d08: move a0,s0这里move a0,s0也在延迟槽里它在跳转生效前把第一个输入数搬进a0。这类细节读多了就有肌肉记忆看到b后面跟着一条看起来不该在这的指令直接认为它会执行。3.4 phase_5查表变换加循环最多四层phase_5 的套路是把输入字符串的每个字符取低 4 位作为索引去查一张 16 字节的表拼出新字符串再和.rodata里的目标串比较。MIPS 版本里这段循环非常好认因为取低 4 位只能用andi400e10: lbu v0,0(s0) 400e14: andi v0,v0,0xf # 只要低 4 位 400e18: addu v0,v0,s1 400e1c: lbu a1,0(v0) # 查表 400e20: sb a1,0(s2) ...16 字节的表在.rodata里可以直接 dump 出来。剩下的工作就是反推目标串的第一个字符是表里的第几项这一项的位置又对应原输入字符低 4 位的哪个值由于低 4 位相同的字符有很多比如a和q的低 4 位都是 1答案不唯一随便挑一个可打印字符即可。注意表里如果有无重复项说明设计者刻意做成双射映射唯一如果有重复项说明是故意留了多解。我拆过的一个版本表长度是 16 但只有 12 个不同字符说明至少有两组重复这时候你选哪个字符都能过但选可打印字符最省事——别选到控制字符把自己坑了。3.5 phase_6链表 排序最费纸的一关phase_6 是所有关卡里最工程化的一关读六个数字要求每个都在 1 到 6 之间且互不重复然后按这些数字作为索引从一张预先构建好的链表里取节点按索引顺序重排最后检查重排后的节点值是否严格递减。MIPS 版本的特点是从.data段读节点。每个节点是一个结构体典型布局是{int value; int index; node *next}12 字节。反汇编里你会看到大量lw ... , 0($s0)、lw ..., 4($s0)、lw ..., 8($s0)这种固定偏移访问。识别出这个模式就能确定节点大小和字段顺序。重排的逻辑通常是先把六个节点的地址按顺序存到一个栈上数组里然后对数组做两两交换for i in 0..5: for j in i1..5交换条件是若a[i]-value a[j]-value则交换。MIPS 里这个双层循环的内层是400f80: lw v0,0(a1) # a[i]-value 400f84: lw v1,0(a2) # a[j]-value 400f88: slt v0,v0,v1 400f8c: bne v0,zero,400fa0 # 若 value_i value_j 交换 400f90: nop把链表节点的 value 全 dump 出来按大小排序你就能反推出输入序列。这一步用gdb更方便在检查前下断点直接x/12wx node1把整条链表打出来。静态分析算偏移容易出错动态看一眼省半小时。3.6 隐藏关从phase_defused反推触发条件隐藏关的触发点全在phase_defused这个函数里。它每关结束都会被调用一次逻辑通常是计数器到 6 之后用sscanf按一个更宽松的格式解析某一关的原始输入如果多解析出一个字符串就把它和某个常量比较相等就进隐藏关。MIPS 版本里sscanf的调用形态是jal sscanf参数是$a0输入串、$a1格式串、$a2/$a3加栈上若干目标地址。你只要盯住格式串在.rodata里的内容就知道要几个字段、什么类型。对比一下phase_4正常解析用的格式串通常是%d和这里用的通常是%d %d %s之类差出来的部分就是隐藏关的入口。然后去找它比较的那个常量串通常就藏在同一个.rodata区域附近。找到之后回到对应的那一关一般是第四关把答案行改成原答案 空格 隐藏关口令再依次通关隐藏关就会打开。这一关的校验通常是更复杂的指针操作或者数组变换但结构跟前面几关同源读起来不会更难。4. 动态验证用 qemu 挂 gdb让寄存器自己说话4.1 起一个带调试端口的 qemu静态分析给出的是推理动态调试给出的是事实。MIPS 二进制在你的 x86 机器上跑不了得靠 qemu 用户态模拟。标准做法是先装qemu-user和gdb-multiarch然后# 终端 1起 qemu暴露 gdb 调试端口在 1234 qemu-mips -g 1234 -L /usr/mips-linux-gnu ./bomb # 终端 2连上去 gdb-multiarch ./bomb \ -ex set architecture mips \ -ex set endian big \ -ex target remote :1234 \ -ex break phase_3 \ -ex continue-L那个参数是指定动态链接库的搜索根目录很多实验给的 bomb 是动态链接的不给-L会直接报找不到解释器。如果二进制是静态链接的-L可以省。set endian必须跟readelf的输出对上写错了 gdb 会以错误的字节序解释内存读出来的地址全是反的。4.2 断点下在比较之前不是函数入口在函数入口下断点只能让你看到参数但你想看的是程序算出来的中间结果和我推理的一不一样。所以我习惯把断点下在比较指令的前一条。比如 phase_3 里那个sltiu之前先x/4wx $sp16把栈上的两个数字打出来直接就知道sscanf解析出了什么。常用的几条命令在 MIPS 上完全通用(gdb) info registers a0 a1 v0 s0 sp ra (gdb) x/8wx $sp (gdb) x/s $a0 (gdb) x/8i $pc-16 (gdb) display/i $pcdisplay/i $pc这条特别值得开因为 MIPS 单步的时候si会把延迟槽和跳转分开走屏幕上实时显示当前指令能让你知道自己在延迟槽里还是在目标地址上。4.3 单步陷阱为什么按一次si感觉跳了两条这是 MIPS 调试里最让人困惑的行为。当你si执行一条jal时gdb 会先停一下在延迟槽指令上你需要再按一次si才真正进到被调函数。同理beq走完延迟槽才会跳。第一次遇到会以为 gdb 出 bug 了实际上这就是硬件的真实行为。对应的技巧是遇到跳转指令时先看$pc和延迟槽里的指令再决定下不下第二个断点。如果延迟槽里是一条sw或者move说明它在为跳转目标准备参数你要关心的数据变化就发生在这里。4.4 改寄存器还是改二进制两种取舍调试到某一关想验证答案有两条路。一条是临时改寄存器在比较前set $v0 0让程序以为匹配通过直接看下一关的入口地址。这条路快但只对当前会话有效重启就没了。另一条是二进制打补丁把jal explode_bomb替换成nop。MIPS 的jal是 4 字节0x0c000000 | (addr2)nop是0x00000000长度一致直接原地替换不会破坏其他指令的对齐和地址。这招的好处是你可以随便乱填输入程序只会告诉你错误不会退出方便你逐关试答案。import struct data bytearray(open(bomb, rb).read()) target 0x00400b80 # explode_bomb 地址 jal_to_target 0x0c000000 | (target 2) patched 0 for off in range(0, len(data) - 4, 4): if struct.unpack(I, data[off:off4])[0] jal_to_target: data[off:off4] b\x00\x00\x00\x00 patched 1 open(bomb_patched, wb).write(data) print(fpatched {patched} call sites)提示改完记得chmod x bomb_patched并且保留原始二进制。很多实验的最后一步要求交原始炸弹的正确答案补丁版只用来探路。5. 那些让我卡了半天的具体坑5.1 大小端搞混导致字符串全乱我第一次 dump.rodata的时候把整个段按小端解释结果字符串全是倒着的。后来才反应过来字符串是字节序列跟端序无关只有多字节整数比如跳转表项、数组元素才需要按端序解释。所以正确做法是字符串直接用objdump -s的 ASCII 列看整数用脚本按机器端序 unpack。搞混这一点你会浪费大量时间在这个字符串为什么倒过来了上。5.2-O0和-O2编译出来的关卡长得完全不一样课程给的 bomb 通常是-O0编译的代码冗长但直观每个中间变量都写回栈上读起来像流水账。如果拿到的是-O2版本寄存器复用会非常激进函数可能被内联循环可能被展开甚至func4的递归会被改写成迭代。这时候别硬读先搜一下有没有明显的jal调用链把函数边界重新划一遍。我一般会用grep -c jr.*ra数一下函数个数心里有个底。5.3$gp基址算错跳转表读成垃圾前面提过一次这里再强调跳转表如果是 PIC 相对寻址lw $v0, xxx($gp)里的xxx是相对于$gp的偏移而$gp的初值一般在中途的某个函数里设置。你得在__libc_csu_init或者_start之后的几条指令里找到lui $gp, ...加addiu $gp, $gp, ...算出$gp的真实值然后才能换算。算错的结果就是跳到一片没有指令的地方程序直接段错误你还会以为是自己的答案错了。5.4 一份自查对照表现象最可能原因处理方式反汇编全是sdl、ldc1等冷门指令端序或架构选错readelf -h核对 Machine 和 Data字符串显示为乱码用整数方式解释字节序列改看objdump -s的 ASCII 列跳转目标落在非代码区$gp基址算错先定位$gp初始化指令单步时感觉跳过了一条分支延迟槽观察$pc与display/i $pcjalr $t9之后立刻崩$t9未正确加载目标地址回看前两条lui/addiu明明答案对却爆了上一关答案被隐藏关格式影响检查phase_defused的sscanf格式串6. 不靠手工把校验逻辑搬到 Python 里批量验证6.1 逐关复现校验函数手工推一遍之后最有价值的动作是把每一关的校验逻辑用 Python 重写一遍。写的过程就是第二次验证——你会发现某些细节你其实没读清楚。比如 phase_2 的递推关系写完跑一遍如果前六项跟你在 gdb 里看到的内存对不上说明读错了。def phase_2(): a [1] for _ in range(5): a.append(2 * a[-1]) # 对应 a[i] 2*a[i-1] 的等价形式 return .join(map(str, a)) def phase_3(table, consts): # table: 从 .rodata 读出的跳转目标序号到常量的映射 for idx, val in consts.items(): for first in range(0, 1000): if first val: return f{first} {idx} return None if __name__ __main__: print(phase_2())这种脚本的好处是你可以随便改假设几秒钟验证一次。改一个系数跑一遍看输出对不对比在 gdb 里改寄存器快十倍。6.2 用 qemu 做黑盒爆破的脚手架有些关卡尤其 phase_5的答案是组合型的手工反推容易漏。这时候写个黑盒爆破脚本更省事固定前几关的正确答案只对当前这一关做穷举通过观察输出判断是否通过。import subprocess PREFIX [answer1, answer2, answer3, answer4] QEMU [qemu-mips, -L, /usr/mips-linux-gnu, ./bomb] def try_phase5(cand, timeout2): payload \n.join(PREFIX [cand]) \n try: p subprocess.run(QEMU, inputpayload.encode(), capture_outputTrue, timeouttimeout) except subprocess.TimeoutExpired: return None return p.stdout.decode(errorsignore) for cand in generate_candidates(): out try_phase5(cand) if out and 失败 not in out and 触发 not in out: print(hit:, cand) break判断是否通过时别去匹配中文提示不同版本的 bomb 措辞不一样最稳的方式是看输出长度变化或者看是否出现了下一关的提示文本。我一般先手工跑一次正确答案把输出存成模板后面只做字符串比对。6.3 静态推理与动态结果交叉验证我最后一定会做一遍交叉验证静态分析推出来的答案填入程序跑一遍跑通之后再用 gdb 在每一关的关键比较点打一次断点确认程序内部实际算出来的值和我的 Python 脚本算出来的一致。这一步听起来多余但它能抓出那种答案碰巧对了但理解错了的情况——比如 phase_5 里有多解你填的那个字符恰好在另一个分支上也能过但你其实没搞懂那关在干什么。真正理解了你才敢在报告里写清楚原理而不是只交一串答案。我在这类实验上栽得最惨的一次是 phase_6 里把链表的节点大小算成了 8 字节而不是 12 字节结果后面所有偏移全错反推出来的顺序看着有模有样填进去就爆。后来在 gdb 里x/18wx一把把六个节点打出来肉眼一看就看出来了——节点之间的地址间隔是0x0c不是0x08。这个教训让我养成了一个习惯凡是从.data读结构体先别急着算偏移先在内存里把几个相邻实例打出来量一下实际步长一切以实测为准。