[Pwnable.kr](https://pwnable.kr/)のlegを解いたのでそのwriteupを書いた。 >Daddy told me I should study arm. >But I prefer to study my leg! > >Download : http://pwnable.kr/bin/leg.c >Download : http://pwnable.kr/bin/leg.asm > >ssh leg@pwnable.kr -p2222 (pw:guest) 問題で渡されたアセンブリとCコードはこちら leg.c ```c #include #include int key1(){ // 0x00008cdc asm("mov r3, pc\n"); } int key2(){ // 36104 asm( "push {r6}\n" "add r6, pc, $1\n" "bx r6\n" ".code 16\n" "mov r3, pc\n" "add r3, $0x4\n" "push {r3}\n" "pop {pc}\n" ".code 32\n" "pop {r6}\n" ); } int key3(){ // 0x00008d28 asm("mov r3, lr\n"); } int main(){ int key=0; printf("Daddy has very strong arm! : "); scanf("%d", &key); if( (key1()+key2()+key3()) == key ){ printf("Congratz!\n"); int fd = open("flag", O_RDONLY); char buf[100]; int r = read(fd, buf, 100); write(0, buf, r); } else{ printf("I have strong leg :P\n"); } return 0; } ``` leg.asm ```x86asm (gdb) disass main Dump of assembler code for function main: 0x00008d3c <+0>: push {r4, r11, lr} 0x00008d40 <+4>: add r11, sp, #8 0x00008d44 <+8>: sub sp, sp, #12 0x00008d48 <+12>: mov r3, #0 0x00008d4c <+16>: str r3, [r11, #-16] 0x00008d50 <+20>: ldr r0, [pc, #104] ; 0x8dc0 0x00008d54 <+24>: bl 0xfb6c 0x00008d58 <+28>: sub r3, r11, #16 0x00008d5c <+32>: ldr r0, [pc, #96] ; 0x8dc4 0x00008d60 <+36>: mov r1, r3 0x00008d64 <+40>: bl 0xfbd8 <__isoc99_scanf> 0x00008d68 <+44>: bl 0x8cd4 0x00008d6c <+48>: mov r4, r0 0x00008d70 <+52>: bl 0x8cf0 0x00008d74 <+56>: mov r3, r0 0x00008d78 <+60>: add r4, r4, r3 0x00008d7c <+64>: bl 0x8d20 0x00008d80 <+68>: mov r3, r0 0x00008d84 <+72>: add r2, r4, r3 0x00008d88 <+76>: ldr r3, [r11, #-16] 0x00008d8c <+80>: cmp r2, r3 0x00008d90 <+84>: bne 0x8da8 0x00008d94 <+88>: ldr r0, [pc, #44] ; 0x8dc8 0x00008d98 <+92>: bl 0x1050c 0x00008d9c <+96>: ldr r0, [pc, #40] ; 0x8dcc 0x00008da0 <+100>: bl 0xf89c 0x00008da4 <+104>: b 0x8db0 0x00008da8 <+108>: ldr r0, [pc, #32] ; 0x8dd0 0x00008dac <+112>: bl 0x1050c 0x00008db0 <+116>: mov r3, #0 0x00008db4 <+120>: mov r0, r3 0x00008db8 <+124>: sub sp, r11, #8 0x00008dbc <+128>: pop {r4, r11, pc} 0x00008dc0 <+132>: andeq r10, r6, r12, lsl #9 0x00008dc4 <+136>: andeq r10, r6, r12, lsr #9 0x00008dc8 <+140>: ; instruction: 0x0006a4b0 0x00008dcc <+144>: ; instruction: 0x0006a4bc 0x00008dd0 <+148>: andeq r10, r6, r4, asr #9 End of assembler dump. (gdb) disass key1 Dump of assembler code for function key1: 0x00008cd4 <+0>: push {r11} ; (str r11, [sp, #-4]!) 0x00008cd8 <+4>: add r11, sp, #0 0x00008cdc <+8>: mov r3, pc 0x00008ce0 <+12>: mov r0, r3 0x00008ce4 <+16>: sub sp, r11, #0 0x00008ce8 <+20>: pop {r11} ; (ldr r11, [sp], #4) 0x00008cec <+24>: bx lr End of assembler dump. (gdb) disass key2 Dump of assembler code for function key2: 0x00008cf0 <+0>: push {r11} ; (str r11, [sp, #-4]!) 0x00008cf4 <+4>: add r11, sp, #0 0x00008cf8 <+8>: push {r6} ; (str r6, [sp, #-4]!) 0x00008cfc <+12>: add r6, pc, #1 0x00008d00 <+16>: bx r6 0x00008d04 <+20>: mov r3, pc 0x00008d06 <+22>: adds r3, #4 0x00008d08 <+24>: push {r3} 0x00008d0a <+26>: pop {pc} 0x00008d0c <+28>: pop {r6} ; (ldr r6, [sp], #4) 0x00008d10 <+32>: mov r0, r3 0x00008d14 <+36>: sub sp, r11, #0 0x00008d18 <+40>: pop {r11} ; (ldr r11, [sp], #4) 0x00008d1c <+44>: bx lr End of assembler dump. (gdb) disass key3 Dump of assembler code for function key3: 0x00008d20 <+0>: push {r11} ; (str r11, [sp, #-4]!) 0x00008d24 <+4>: add r11, sp, #0 0x00008d28 <+8>: mov r3, lr 0x00008d2c <+12>: mov r0, r3 0x00008d30 <+16>: sub sp, r11, #0 0x00008d34 <+20>: pop {r11} ; (ldr r11, [sp], #4) 0x00008d38 <+24>: bx lr End of assembler dump. (gdb) ``` # ARMアセンブリの関数の返り値 ARMアセンブリの勉強回。プログラムを見ると、key1, key2, key3の返り値を全て足した値を求める問題。まずはARMアセンブリの関数の返り値の設定の仕方を調べる。 >Passing on > >It is almost certainly worth your time becoming familiar with the details of the Arm Procedure Call Standard but apart >from the list of registers that need to be preserved that was covered earlier it is probably worth quickly covering the >passing in of parameters and the returning of results. The first four 32-bit values are passed in the registers r0-r3. >If one of the parameters is 64 bits long, then either r0 and r1 or r2 and r3 will be used - but not r1 and r2. The >endianness used is officially defined to be "as if the value had been loaded from memory representation with a single >LDM instruction". Rather than looking up what that means, I would suggest simply writing some code to test it. If there >are more parameters than will fit in r0-r3, then the last of the values are written to the stack before the function is called. > >Results are returned in r0, or r0 and r1 if it requires 64-bits. Check the link above for more detailed information, >but that should cover most cases. > >from [How to Call a Function from Arm Assembler](https://community.arm.com/arm-community-blogs/b/architectures-and-processors-blog/posts/how-to-call-a-function-from-arm-assembler) ARMアセンブリでは関数終了時のr0レジスタの値が返り値になるそうだ。 # key1 ```x86asm 0x00008cd4 <+0>: push {r11} ; (str r11, [sp, #-4]!) 0x00008cd8 <+4>: add r11, sp, #0 0x00008cdc <+8>: mov r3, pc 0x00008ce0 <+12>: mov r0, r3 0x00008ce4 <+16>: sub sp, r11, #0 0x00008ce8 <+20>: pop {r11} ; (ldr r11, [sp], #4) 0x00008cec <+24>: bx lr ``` まずはkey1。 key1のr0の値を追ってみると、 ```x86asm 0x00008cdc <+8>: mov r3, pc ↓ 0x00008ce0 <+12>: mov r0, r3 ``` r0にはpcの値が入ることが分かる。名前的にprogram counterを意味していると思うので、armアセンブリのプログラムカウンタについて調べる。 > - In ARM state, the value of the PC is the address of the current instruction plus 8 bytes. > - In Thumb state: >> - For B, BL, CBNZ, and CBZ instructions, the value of the PC is the address of the current instruction plus 4 bytes. >> - For all other instructions that use labels, the value of the PC is the address of the current instruction >>plus 4 bytes, with bit[1] of the result cleared to 0 to make it word-aligned. > >from [Register-relative and PC-relative expressions](https://developer.arm.com/documentation/dui0473/j/symbols--literals--expressions--and-operators/register-relative-and-pc-relative-expressions?lang=en) より、通常pcは現在の命令のアドレス+8の値であるので、 0x00008cdc + 8 = 36068 より、key1の返り値は **36068** # key2 ```x86asm 0x00008cf0 <+0>: push {r11} ; (str r11, [sp, #-4]!) 0x00008cf4 <+4>: add r11, sp, #0 0x00008cf8 <+8>: push {r6} ; (str r6, [sp, #-4]!) 0x00008cfc <+12>: add r6, pc, #1 0x00008d00 <+16>: bx r6 0x00008d04 <+20>: mov r3, pc 0x00008d06 <+22>: adds r3, #4 0x00008d08 <+24>: push {r3} 0x00008d0a <+26>: pop {pc} 0x00008d0c <+28>: pop {r6} ; (ldr r6, [sp], #4) 0x00008d10 <+32>: mov r0, r3 0x00008d14 <+36>: sub sp, r11, #0 0x00008d18 <+40>: pop {r11} ; (ldr r11, [sp], #4) 0x00008d1c <+44>: bx lr ``` 次はkey2。 r0に最終的に入る値の経路を追うと、 ```x86asm 0x00008d04 <+20>: mov r3, pc ↓ 0x00008d06 <+22>: adds r3, #4 ↓ 0x00008d10 <+32>: mov r0, r3 ``` これもkey1と同様にすればよいように見えるが、実は違う。他の命令も見てみると、気になる命令がある。 ```x86asm 0x00008cfc <+12>: add r6, pc, #1 0x00008d00 <+16>: bx r6 ``` この命令について調べてみる。 [この記事](https://www.binarydevelop.com/article/arm-b-blx-bx-28165) によると、bx命令はオペランドの最下位ビットが1のときにプロセッサの状態をthumbモードに変化させるらしい。それに則れば、この命令以降はthumbモードになる。 [key1](#key1)によれば、pcはthumbモードのとき現在の命令のアドレス+4になる。したがって、key2の返り値は、 0x00008d04 + 4 + 4 = 36108 # key3 ```x86asm 0x00008d20 <+0>: push {r11} ; (str r11, [sp, #-4]!) 0x00008d24 <+4>: add r11, sp, #0 0x00008d28 <+8>: mov r3, lr 0x00008d2c <+12>: mov r0, r3 0x00008d30 <+16>: sub sp, r11, #0 0x00008d34 <+20>: pop {r11} ; (ldr r11, [sp], #4) 0x00008d38 <+24>: bx lr ``` 次はkey3。 r0に入る値は、 ```x86asm 0x00008d28 <+8>: mov r3, lr ↓ 0x00008d2c <+12>: mov r0, r3 ``` より、lrレジスタの値になる。ではlrとはなにか？ [wikipedia](https://en.wikipedia.org/wiki/Link_register) によると関数をが呼び出された地点の次のアドレスが入っているらしい。つまり戻り先アドレス。したがって ```x86asm ... 0x00008d74 <+56>: mov r3, r0 0x00008d78 <+60>: add r4, r4, r3 0x00008d7c <+64>: bl 0x8d20 0x00008d80 <+68>: mov r3, r0 0x00008d84 <+72>: add r2, r4, r3 ... ``` より、lrには0x00008d80が入る。よって、key3の戻り値は0x00008d80。 # 最後ここまででkey1, key2, key3の戻り値が分かったのでそれらの和(108400)をプログラムに渡してあげればクリア。

Writeup for Pwnable.kr Leg