内存地址	内存地址中的数	注释	指向这块内存的寄存器
0xffffd0e8		函数phase_2的栈帧
0xffffd0e4	0xffffd0f4	函数phase_2的栈帧
0xffffd0e0	0x5655b7b0	函数phase_2的栈帧
0xffffd0dc	0x565566ca	函数read_six_numbers的返回地址，函数phase_2的栈帧
0xffffd0d8	0x5655af64	旧%ebx的值
0xffffd0d4
0xffffd0d0
0xffffd0cc	0xffffd108	第<read_six_numbers+26>行 push %edx
0xffffd0c8	0xffffd104	第<read_six_numbers+30>行 push %edx
0xffffd0c4	0xffffd100	第<read_six_numbers+34>行 push %edx
0xffffd0c0	0xffffd0fc	第<read_six_numbers+38>行 push %edx
0xffffd0bc	0xffffd0f8	第<read_six_numbers+42>行 push %edx
0xffffd0b8	0xffffd0f4	第<read_six_numbers+43>行 push %eax
0xffffd0b4	0x565583c1	0x565583c1是字符串'%d %d %d %d %d %d'的地址	%esp

（图1：实际运行与纸上分析——使用"ni"命令执行第<read_six_numbers+50>行汇编代码之后各寄存器与栈帧的情况）

是不是有点小激动了呀哈哈哈，耐住性子千万不要着急，一步一步慢慢来哦！

内存地址	内存地址中的数	注释	指向这块内存的寄存器
0xffffd0e8		函数phase_2的栈帧
0xffffd0e4	0xffffd0f4	函数phase_2的栈帧
0xffffd0e0	0x5655b7b0	函数read_six_numbers的第一个入口参数，函数phase_2的栈帧
0xffffd0dc	0x565566ca	函数read_six_numbers的返回地址，函数phase_2的栈帧
0xffffd0d8	0x5655af64	旧%ebx的值
0xffffd0d4
0xffffd0d0
0xffffd0cc	0xffffd108	第<read_six_numbers+26>行 push %edx
0xffffd0c8	0xffffd104	第<read_six_numbers+30>行 push %edx
0xffffd0c4	0xffffd100	第<read_six_numbers+34>行 push %edx
0xffffd0c0	0xffffd0fc	第<read_six_numbers+38>行 push %edx
0xffffd0bc	0xffffd0f8	第<read_six_numbers+42>行 push %edx
0xffffd0b8	0xffffd0f4	第<read_six_numbers+43>行 push %eax
0xffffd0b4	0x565583c1	0x565583c1是字符串'%d %d %d %d %d %d'的地址
0xffffd0b0	0x5655b7b0	0x5655b7b0是你输入的针对'phase_2'的字符串的地址	%esp

（图2：实际运行与纸上分析——使用"ni"命令执行第<read_six_numbers+51>行汇编代码之后各寄存器与栈帧的情况）

内存地址	内存地址中的数	注释	指向这块内存的寄存器
0xffffd0e8		函数phase_2的栈帧
0xffffd0e4	0xffffd0f4	函数phase_2的栈帧
0xffffd0e0	0x5655b7b0	函数read_six_numbers的第一个入口参数，函数phase_2的栈帧
0xffffd0dc	0x565566ca	函数read_six_numbers的返回地址，函数phase_2的栈帧
0xffffd0d8	0x5655af64	旧%ebx的值
0xffffd0d4
0xffffd0d0
0xffffd0cc	0xffffd108	0x6
0xffffd0c8	0xffffd104	0x5
0xffffd0c4	0xffffd100	0x4
0xffffd0c0	0xffffd0fc	0x3
0xffffd0bc	0xffffd0f8	0x2
0xffffd0b8	0xffffd0f4	0x1
0xffffd0b4	0x565583c1	0x565583c1是字符串'%d %d %d %d %d %d'的地址
0xffffd0b0	0x5655b7b0	0x5655b7b0是你输入的针对'phase_2'的字符串的地址	%esp

（图3：实际运行与纸上分析——使用"ni"命令执行第<read_six_numbers+55>行汇编代码之后各寄存器与栈帧的情。这时是不是觉得<__isoc99_sscanf@plt>非常神奇！！！在这一步过后，我们的思路便豁然开朗了起来）

内存地址	内存地址中的数	注释	指向这块内存的寄存器
0xffffd0e8		函数phase_2的栈帧
0xffffd0e4	0xffffd0f4	函数phase_2的栈帧
0xffffd0e0	0x5655b7b0	函数read_six_numbers的第一个入口参数，函数phase_2的栈帧
0xffffd0dc	0x565566ca	函数read_six_numbers的返回地址，函数phase_2的栈帧
0xffffd0d8	0x5655af64	旧%ebx的值
0xffffd0d4
0xffffd0d0			%esp
0xffffd0cc	0xffffd108	0x6
0xffffd0c8	0xffffd104	0x5
0xffffd0c4	0xffffd100	0x4
0xffffd0c0	0xffffd0fc	0x3
0xffffd0bc	0xffffd0f8	0x2
0xffffd0b8	0xffffd0f4	0x1
0xffffd0b4	0x565583c1	0x565583c1是字符串'%d %d %d %d %d %d'的地址
0xffffd0b0	0x5655b7b0	0x5655b7b0是你输入的针对'phase_2'的字符串的地址

（图4：实际运行与纸上分析——使用"ni"命令执行第<read_six_numbers+60>行汇编代码之后各寄存器与栈帧的情。）

内存地址	内存地址中的数	注释	指向这块内存的寄存器
0xffffd0e8		函数phase_2的栈帧
0xffffd0e4	0xffffd0f4	函数phase_2的栈帧
0xffffd0e0	0x5655b7b0	函数read_six_numbers的第一个入口参数，函数phase_2的栈帧
0xffffd0dc	0x565566ca	函数read_six_numbers的返回地址，函数phase_2的栈帧
0xffffd0d8	0x5655af64	旧%ebx的值
0xffffd0d4
0xffffd0d0			%esp
0xffffd0cc	0xffffd108	0x6
0xffffd0c8	0xffffd104	0x5
0xffffd0c4	0xffffd100	0x4
0xffffd0c0	0xffffd0fc	0x3
0xffffd0bc	0xffffd0f8	0x2
0xffffd0b8	0xffffd0f4	0x1
0xffffd0b4	0x565583c1	0x565583c1是字符串'%d %d %d %d %d %d'的地址
0xffffd0b0	0x5655b7b0	0x5655b7b0是你输入的针对'phase_2'的字符串的地址

寄存器名称	寄存器中的值
%eax	0x6

（图5：实际运行与纸上分析——使用"ni"命令执行第<read_six_numbers+63>行汇编代码之后各寄存器与栈帧的情。因为此时我们的%eax寄存器中的值为0x6，大于0x5，所以不会跳转到<read_six_numbers+73>这个没有任何内容的空地址上，进而不会引爆炸弹。）

……………………

(图6：实际运行与纸上分析——使用"ni"命令执行第<phase_2+47>行汇编代码之后各寄存器与栈帧的情。接着，第<phase_2+50>行判断(%esp+4)和0的大小，如果不相等就会跳到第<phase_2+64>行，可是第<phase_2+64>行就是引爆炸弹，所以不能不相等，所以%esp+4应该是0，而我们输入的却是1，所以万万不能继续执行了)

按quit退出，接着再重复一遍，先输入phase_1的正确字符串，接着输入"0 1 2 3 4 5"作为我们假设的phase_2的答案，然后一路按"ni"，一直到我们刚刚的那个地方，如 图7：又来到了同样的<phase_2+50>这个地方 所示。

（图7：又来到了同样的<phase_2+50>这个地方。接着，第<phase_2+50>行判断(%esp+4)和0的大小，如果不相等就会跳到第<phase_2+64>行。但是我们此时的函数栈帧中(%esp+4)的值就是0，相等，不会跳到<phase_2+64>，所以我们输入的6个数中对了第1个数，是"0"。）

（图8：实际运行与纸上分析——使用"ni"命令执行第<phase_2+55>行汇编代码之后各寄存器与栈帧的情况）

接着使用同样的方法，我们分别得到了剩下的几个数为："1 1 2 3 5"，也就是说，这其实是一个以0，1开头的斐波那契数列，所以我们针对phase_2的答案字符串即为"0 1 1 2 3 5"。

I turned the moon into something I call a Death Star.
0 1 1 2 3 5