fx-82ES PLUS A 2nd edition 异常合集

(4) 使用
在乱点模式中，可在LINE I/O下输入语句，并在MATH I/O下[=]，就能看到乱点结果（是的，这里从LINE切人MATH不会清除输入区，但反过来会）
若输入多语句"a:b"，如"Ran#Ran#Ran#:1",[=][=],切MATH I/O，继续[=]，"Ran#Ran#Ran#"（* 存疑，亦或是"Ran#Ran#Ran#:" *)会不断向内存后方填充，从而触发异常。
下面将输入多语句"a:b"，[=][=]，切MATH I/O，继续[=]至条纹或花屏或乱码记作{a:b}
相同多语句在不同乱点模式下有不一样的效果。
(5) 乱点能触发的异常
I) 第一乱点
i) {Ran#Ran#Ran#:1}（[=]到出现条形码）
· Base-N
[MODE][1][上]→输入任意内容直到条码消失（约13字）→Mem Clear（[SHIFT][9][2][=]）→输入"Rec(5,666"（这里按下两次[6]会出现三个）→[=]→[AC]
· 慢乱点模式（该模式下屏幕底部的乱点会随着堆栈层数的增高而增高）
[AC][9][AC][AC][9][AC]
· 线性无光标
[上]*32→Mem Clear→Ran#[=][AC]
ii) {Ran#^(6:1} （[=]直到弹出Setup菜单）
· 异常菜单
[AC]
iii) {Ran#Ran#Ran#^(-216:1} （"-"是[(-)]而非[—]）（[=]到出现花屏）
· 自检
[AC][上]
· 异常菜单
[左][MODE][左]
iv) {Ran#Ran#Ran#^(6:1} （花屏）
· ¼屏
[上][左][下][左][MODE][1][SHIFT][MODE][2]
v) {Ran#Ran#Ran#^(12:1} （花屏）
· ¾屏
[MODE][1][SHIFT][MODE][2]
* 存疑，笔者从未成功 *
· ½屏，光标快速闪烁
[MODE][1][=][左][9]
* 此时[SHIFT]等第一排按键可以控制光标闪烁；也可能响应其他按键操作 *
II) 第三乱点
* 由于笔者从未成功进入该乱点，故只能直接引用原作者 @徐一帆与徐子顺 的描述 *
i) {Ran#Ran#Ran#:1}
· 双行输入
？？？

二、ROP
· 预备知识及原理概要
我们知道计算器内存中存在“输入区”和“回放区”（又称缓存区）其中输入区从0:8154开始，共100字节（0:8154~0:81B7）。紧随其后的是回放区 也是100字节（0:81B8~0:821C）。输入区就是我们输入计算式的地方。当我们输入了式子并试图执行计算时（[=]、[M+]、[M-]、→A…都是），输入区的内容会被拷贝至回放区。当输入区为空时，按[左]或者[右]可以将回放区的内容恢复到输入区。内存布局如图：
(seg0) [0x8154 …输入区… 0x81B7][0x81B8 …回放区… 0x821C]
正常情况下，输入区有100字节，却只能输入99个字符（该型号字符集全为单字节，故字符≈字节），这是因为需要预留一个字符给终止字符'\0'，这个字符标志着一个典型的C语言字符串的结束。但是“基本溢出”（详见下文）可以解除这种限制，使得输入的字符串长度可以超过99字节，甚至摸到回放区。这时按下[=]就会产生异常
(该段部分引自简书@185264646，更多细节也可参阅TA的文章。)
注意：为方便区分，我将嵌套调用了子函数的函数叫做“函数”，没有嵌套调用的函数称为“过程”。“函数”返回时需要从堆栈上获取返回地址，而“过程”是从寄存器中获取。
计算器在按下[=]后，使用strcpy_null()函数执行将输入区拷贝至回放区的操作。而strcpy_null()又调用了strcpy()过程。众所周知，strcpy()不会检查待复制字符串长度的毛病极易引发缓冲区溢出，这里也不例外。如果输入区字符达到100字节，当strcpy()拷贝完输入区的第100个字节后（还记得正常情况下输入区最多99字节，预留了1位给'\0'吗？），由于没有'\0'的终止信号，它会继续将回放区的内容（此时输入区的内容已经拷贝至此）拷贝至其后100字节的位置。当回放区拷贝完后也同理。直到strcpy()触及未定义内存区域被迫返回。最后的结果是输入区的内容在其后方的内存中周期性出现，包括堆栈区!具体机理如下图
[图片：拷贝机理]
strcpy()作为方法，不需要从堆栈获取返回地址，但是strcpy_null()是一个函数，它需要从堆栈获取返回地址。但是此时堆栈已经被我们修改，所以，如果我们能好好设计输入区的100字节，让函数返回后刚好从堆栈获取到我们想要执行的计算器功能，就能劫持计算器控制流而令计算器按我们的意愿做事。这就是ROP，全称返回导向编程 （Return Oriented Programming）。
1. 基本溢出
strlen()只统计遇到的第一个'\0'前的字符个数，所以，如果能将光标设置在'\0'后面，计算器就会一直认为输入区字符长度没改变，从而满足我们让输入区超过99字节的需求。
注意：(1)基本溢出下，字符的“插入”是失效的，只能向后覆盖，所以请务必做好规划安排；(2) 在线性模式下，一切溢出光标都会跟随字符移动，而数学模式下溢出时，光标不会移动，输入区只有一个□，故只能盲打。
1) 方框溢出
在（异常）STAT模式中可以通过不稳定字符刷出□，但是使用不稳定字符就需要基本溢出，故STAT模式下方框溢出意义不大。
在COMP模式中使用□溢出，则需要先进入68模式。在模式中打出一个次方式子（包含"^("的那种），比如"1^(2"。然后Setup Clr（[SHIFT][9][1][=]）。此时切换为MATH I/O，但是历史记录不会清除。[上]，移动光标删去"1"，出现□，再[左]，[DEL][DEL]删去"2"和"^("。就得到了□方框。[左]将光标移到□上，[右]，进入基本溢出。再次说明，此时是数学模式，所以只能盲打。
补充：在□字符上按下[右]时，光标会无条件向右越过两个字符。所以当□右边没东西而按[右]时，光标就越过了'\0'进入基本溢出。
2) ŷ的溢出
输入833ŷ123456123456然后[M+]，按住[AC]。约7秒后出现自检背景，此时第二个"56"beitunl。输入区实际内容为"833ŷ1234561234 \0 \0 M+ lb▸kg"，光标在lb▸kg后面，可以看到这就进入了基本溢出。此时光标是跟随字符输入而移动的，但是由于\0的存在所以一开始输入区不会显示什么内容，打几个字就会恢复正常。
再次强调，基本溢出时，插入模式是失效的，请一定做好规划！

3. 已知的gadgets（波浪线代表非准确地址）
(1) 0:3356 char* probt_4lines(char* str)
注释：四行打印函数。从er0接受字符串指针str，并打印其指向地址的68个字符。（忽略第17、35、51、68个字符，实际打印的只有64个）
不改变er0的值，所以返回值也是str。
参数:[er0] str
返回:[er0] 不改变其值
字符:r∠θ 3 0 ? （?代表任意字符，下同）
(2) 0:3048 ? render(?)
注释：渲染屏幕，将屏幕缓存的内容写入物理屏幕。（参照ES PLUS系列，若0:811D值不为0，print_line()等函数会先将内容写入屏幕缓存。）
参数：[er0] ？
返回：？
字符：→B 0 0 ?
(3) 0:34A2 ? show_error(?)
注释：这是打印错误信息（如“语法错误”、“数学错误”）的函数。其他资料待补充。
参数：[er0] ？
返回：？
字符：tan( 4 0 ？
(4) 0:8C8C~ ？ pix_paint(?)
注释：这是条码拼图的函数。似乎原理是关闭屏幕缓存？具体行为未知。结果是将输入区的100字节以二进制像素的形式出现在屏幕上。（与ES系列一样，有上单、下单、图框模式）该函数会使ROP链中断，按下[AC]/[左]/[右]返回编辑。
参数：？
返回：？
字符： Ran# Ran# 0 ?
(5) 0:3A82~ void shotdown(void)
注释：很明显了，带CASIO动画的关机函数。
参数：无
返回：无
字符：π : 0 0
(6) 0:31BA pop er0
字符：n𝐂r 1 0 ？
(7) 1:3034 pop xr0
字符：4 0 1 ?
补充：输入区为0:8154，字符为M 𝒆（小端）。回放区为0:81B8，字符为𝐀 𝒆（小端）。
由于大部分函数都默认传入的地址为seg0，所以不需要指定段地址。比如如果需要将输入区地址作为第一个参数传递，直接将"M 𝒆"装入er0即可（n𝐂r 1 0 0 M 𝒆，或者4 0 1 0 M 𝒆 0 0，"0 0"只是占位符）
3. 一些hackstrings
(1) 屏幕法提取0:0000~0:8000的ROM（@Wind0721）
[10字节]4010[目标地址，2字节]00×000[补全100字节]
其中[目标地址]要减去0xC。
* 待考证。指的是要提取0:0000需要输入F4 FF（小端）吗？
(2) checksum提取ROM（@Wind0721）
hex串为：31 32 33 34 35 36 37 38 25 25 [checksum] cf 4c 31 30 33 34 01 01 36 8d c2 4b 89 38 30 30 30 30 30 30 12 06 31 30 14 8d 10 06 31 30 31 32 31 32 33 34 35 36 37 38 14 8d 5c 81 30 30 30 30 b6 31 30 30 01 01 cc 4c 31 30 72 81 33 34 35 36 16 8d 31 32 63 63 35 36 37 38 85 38 30 30 4c 8d 33 34 10 06 31 30 39 30
字符为：1 2 3 4 5 6 7 8 % % [checksum] 1 0 3 4 m𝐩 m𝐩 6 Q1 RanInt#( →M x̄ 8 0 0 0 0 0 0 n h 1 0 Σy Q1 Σx² h 1 0 1 2 1 2 3 4 5 6 7 8 Σy Q1 ▫ 𝒆 0 0 0 0 ε₀ 1 0 0 m

三、ŷ的更多用法（异常STAT）
ŷ是一个特别的字符。在ŷ前输入一些数字似乎也能调用函数，其作用原理笔者暂时不清楚。
· 前备：不稳定字符
由于接下来涉及大量拼字/拼图，涉及不稳定字符刷取不可打字符，故先作介绍。
不稳定字符本质是随机数种子，随光标闪烁而递增（闪1次增2次）
不稳定字符位于回放区后方第9个字节。打满回放区后［1][2][3][4][5][6][7][8]，刚好碰到不稳定字符。（如下图）此法可用于快速检查hackstring是否为100 bytes。
回放区… 0x821C][1 2 3 4 5 6 7 8][不稳定字符]
其中"8"和不稳定字符共同组成随机数种子。
随机数种子的作用是刷取不可打出的字符。先进入基本溢出，在回放区开头做好标记，然后垫字符至不稳定的字符。由于不稳定字符是递增的，所以需要打出目标字符前面最近的一个可打字符（查表）然后数光标的闪烁/以一定节奏左右移动光标，直到得到目标字符。此时应快速删除不稳定字符前面的字符（别让光标闪就行），使目标字符得以被转移到稳定位置。
再次强调，基本溢出时为不可改变的替换模式，故一定要预先做好规划。
1. 基本溢出（见二、1）
2. 64×12报错区拼图
8.33010040004834▫→F
Fŷ[96字节]，[M+]，按住[AC]
3. 48×12报错区拼图＋单行
40×12报错区拼图＋双行
10.6010062821006→M
基本溢出，垫字符至刚好出现不稳定字符。
[1]（刚好覆盖不稳定字符）[2]
输入n（[SHIFT)[1][4][1]，[ON]
(1) 单行
M→D，0→M，1.00343001006681×₁₀30→E
4.340000568131▫→F（第三行出现字）或4.34000031005681▫→F（第四行出现字）
Dŷ[16字节字符][图片72字节］
[=]，按住[AC]。
(2) 双行
M→D，D→M，1.00343001007681×₁₀28→E
4.34000066815681▫→F
Dŷ[第二行16字节][第一行16字节][图片60字节］
[=]，按住[AC]。
4. 多行拼字
833.833833855833ŷ[16字][占位1字][16字][1字]……
最多拼4行。可能会显示2秒突然关机，这取决于输入的字符，原因不明。

似乎乱序了 发一下图片版

@两斤时间 @徐一帆与徐子顺(宽窄 @Wind0721 诚邀大佬指导！

顶

顶

顶！
ver2在此：https://tieba.baidu.com/p/9420172033?share=9105&fr=sharewise&see_lz=0&share_from=post&sfc=copy&client_type=2&client_version=12.76.1.1&st=1737021615&is_video=false&unique=D4E9C8E79DDF5263EC931E3FAEAECD24

(本号为 @徐一帆与徐子顺 小号)
其实乱点模式不止有3种，还有很多(包括一个特殊的1/4屏乱点模式，参见https://tieba.baidu.com/p/9139606655?pn=2 第三十六楼)，因为实在太多，所以那个"更多乱点模式"帖子已弃用，不打算再更新了
最近还发现一个新异常："打点计时"(异常光标)，但因为已先请 @两斤时间 转载(还因为这是不常用的小号)，所以暂时不在这里发方法