SAVEDATAでクラッシュ

[tumugi]

a1Full

[tumugi]

v1Full 2

[パチュリー]

a1Full

EPCを変えずに、a2フルコン出来たら
exploitになる望みはあります。
どうしても、結果が変わらなければ
他のゲームを試してみて下さい。
では、頑張って下さい応援してますm(_ _)m

[neur0n]

a1Full

コード: 全て選択

0x0883CE68 lbu $a3 466($a1)      <-- $a1 = 0x41414141
0x0883CE6C andi $v1 $a3 0xFF  <-- $v1 = $a3 & 0xFF
0x0883CE70 sll $v1 $v1 3          <-- $v1 *= 8
0x0883CE74 addu $v1 $v1 $v0   <--$v1 = $v1 + $v0(0x08A83440)
0x0883CE78 lbu $v0 4($v1)   
0x0883CE7C lw $a0 0($v1)                   <-- $a0 = $v1[0]
0x0883CE80 xori $v0 $v0 0x1
0x0883CE84 andi $v0 $v0 0x1
0x0883CE88 bnez $v0 0x0883CEA8   <-- if($v0 >= 0) goto 0x0883CEA8
0x0883CE8C move $a2 $a0                        <-- $a2 = $a0


コード: 全て選択

0x0883CEA8 andi $v0 $a3 0xFF
・
・
・
0x0883CEC0 jalr $a2             <-- !?


セーブデータが読み込まれるアドレスによってはExploitになりえるかもしれません。

[tumugi]

a1Full

コード: 全て選択

0x0883CE68 lbu $a3 466($a1)      <-- $a1 = 0x41414141
0x0883CE6C andi $v1 $a3 0xFF  <-- $v1 = $a3 & 0xFF
0x0883CE70 sll $v1 $v1 3          <-- $v1 *= 8
0x0883CE74 addu $v1 $v1 $v0   <--$v1 = $v1 + $v0(0x08A83440)
0x0883CE78 lbu $v0 4($v1)   
0x0883CE7C lw $a0 0($v1)                   <-- $a0 = $v1[0]
0x0883CE80 xori $v0 $v0 0x1
0x0883CE84 andi $v0 $v0 0x1
0x0883CE88 bnez $v0 0x0883CEA8   <-- if($v0 >= 0) goto 0x0883CEA8
0x0883CE8C move $a2 $a0                        <-- $a2 = $a0


コード: 全て選択

0x0883CEA8 andi $v0 $a3 0xFF
・
・
・
0x0883CEC0 jalr $a2             <-- !?


セーブデータが読み込まれるアドレスによってはExploitになりえるかもしれません。

そ、そうですか・・・。
でも、僕には何がなんだかさっぱりですｗｗ

[mamosuke]

a1Full

コード: 全て選択

0x0883CE68 lbu $a3 466($a1)      <-- $a1 = 0x41414141
0x0883CE6C andi $v1 $a3 0xFF  <-- $v1 = $a3 & 0xFF
0x0883CE70 sll $v1 $v1 3          <-- $v1 *= 8
0x0883CE74 addu $v1 $v1 $v0   <--$v1 = $v1 + $v0(0x08A83440)
0x0883CE78 lbu $v0 4($v1)   
0x0883CE7C lw $a0 0($v1)                   <-- $a0 = $v1[0]
0x0883CE80 xori $v0 $v0 0x1
0x0883CE84 andi $v0 $v0 0x1
0x0883CE88 bnez $v0 0x0883CEA8   <-- if($v0 >= 0) goto 0x0883CEA8
0x0883CE8C move $a2 $a0                        <-- $a2 = $a0


コード: 全て選択

0x0883CEA8 andi $v0 $a3 0xFF
・
・
・
0x0883CEC0 jalr $a2             <-- !?


セーブデータが読み込まれるアドレスによってはExploitになりえるかもしれません。

ちょっと難しいなぁ。
lbuは1バイトロード？でandiで0xFFだからビット数はそのまんま？
ということは$v1が最大で0xFFだとすると、
sll $v1 $v1 3
で今度は最大0x7F8になるから

0x7F8 + 0x08A83440 = 0x8A83C38

lwで$a0に4バイト入れるなら
0x8A83C38 + 4 = 0x08A83C3C
0x8A83C3Cが少なくともセーブデータをストアしている領域内なら可能性あるということでいいのかな？
複雑すぎてよく分からない。

[mamosuke]

@tumugiさん

0x8A83C3Cがメモリーダンプでセーブデータが格納されていたアドレス内かどうかを教えてもらえますか？

[tumugi]

host0:/> Exception - Bus error (data)
Thread ID - 0x04703E09
Th Name - hidden
Module ID - 0x0471073D
Mod Name - hidden
EPC - 0x0883CE68
Cause - 0x1000001C
BadVAddr - 0x02004000
Status - 0x60088613
zr:0x00000000 at:0xDEADBEEF v0:0x08A83440 v1:0x08A3E350
a0:0x09025DA0 a1:0x41414141 a2:0x08EE5630 a3:0x00000000
t0:0x08A80000 t1:0x00000001 t2:0x09F7FD50 t3:0x08EE3BB0
t4:0x0000000F t5:0x000000C6 t6:0x08EA82A0 t7:0x00000064
s0:0x08C00000 s1:0x09025DA0 s2:0x00000001 s3:0x09025E48
s4:0x00000000 s5:0x08A80000 s6:0x00000001 s7:0x08A80000
t8:0x00000001 t9:0xDEADBEEF k0:0x09F7FF00 k1:0x00000000
gp:0x08A9EF80 sp:0x09F7FCE0 fp:0x09F7FEC0 ra:0x0883CE04
0x0883CE68: 0x90A701D2 '....' - lbu $a3, 466($a1)
savemem 0x08A83C3C 200 mmm.bin
で、あってるかどうかはわかりませんが・・・それらしき値はありませんでした。

[neur0n]

host0:/
で、あってるかどうかはわかりませんが・・・それらしき値はありませんでした。

savemem 0x08A83440 0x7F8 dump.bin

と入力して出力されるファイル内にどこかコントロールできる箇所はありませんか？

たとえばaaaaaaa....という文字列が含まれているとか。

[tumugi]

host0:/
で、あってるかどうかはわかりませんが・・・それらしき値はありませんでした。

savemem 0x08A83440 0x7F8 dump.bin

と入力して出力されるファイル内にどこかコントロールできる箇所はありませんか？

たとえばaaaaaaa....という文字列が含まれているとか。

ないですね・・・