c - 从 C 执行二进制机器代码

Question

正在关注 this说明 我设法只生成了 528 字节大小的 a.out(当 gcc main.c 最初给我 8539 字节的大文件时)。

main.c 是:

int main(int argc, char** argv) {

    return 42;
}

但我已经从这个程序集文件构建了 a.out:

主要内容:

; tiny.asm
  BITS 64
  GLOBAL _start
  SECTION .text
  _start:
                mov     eax, 1
                mov     ebx, 42  
                int     0x80

与:

me@comp# nasm -f elf64 tiny.s
me@comp# gcc -Wall -s -nostartfiles -nostdlib tiny.o
me@comp# ./a.out ; echo $?
42
me@comp# wc -c a.out
528 a.out

因为我需要机器码，所以我这样做:

objdump -d a.out

a.out:     file format elf64-x86-64


Disassembly of section .text:

00000000004000e0 <.text>:
  4000e0:   b8 01 00 00 00          mov    $0x1,%eax
  4000e5:   bb 2a 00 00 00          mov    $0x2a,%ebx
  4000ea:   cd 80                   int    $0x80

># objdump -hrt a.out

a.out:     file format elf64-x86-64

Sections:
Idx Name          Size      VMA               LMA               File off  Algn
 0 .note.gnu.build-id 00000024  00000000004000b0  00000000004000b0  000000b0 2**2
                  CONTENTS, ALLOC, LOAD, READONLY, DATA
 1 .text         0000000c  00000000004000e0  00000000004000e0  000000e0 2**4
                  CONTENTS, ALLOC, LOAD, READONLY, CODE
SYMBOL TABLE:
no symbols

文件采用小端约定:

me@comp# readelf -a a.out
ELF Header:
  Magic:   7f 45 4c 46 02 01 01 00 00 00 00 00 00 00 00 00 
  Class:                             ELF64
  Data:                              2's complement, little endian
  Version:                           1 (current)
  OS/ABI:                            UNIX - System V
  ABI Version:                       0
  Type:                              EXEC (Executable file)
  Machine:                           Advanced Micro Devices X86-64
  Version:                           0x1
  Entry point address:               0x4000e0
  Start of program headers:          64 (bytes into file)
  Start of section headers:          272 (bytes into file)
  Flags:                             0x0
  Size of this header:               64 (bytes)
  Size of program headers:           56 (bytes)
  Number of program headers:         2
  Size of section headers:           64 (bytes)
  Number of section headers:         4
  Section header string table index: 3

现在我想这样执行:

#include <unistd.h>
 // which version is (more) correct?
 // this might be related to endiannes (???)
char code[] = "\x01\xb8\x00\x00\xbb\x00\x00\x2a\x00\x00\x80\xcd\x00";
char code_v1[] = "\xb8\x01\x00\x00\x00\xbb\x2a\x00\x00\x00\xcd\x80\x00";

int main(int argc, char **argv)
{
/*creating a function pointer*/
int (*func)();
func = (int (*)()) code;
(int)(*func)();

return 0;
}

但是我遇到了段错误。 我的问题是:这段文字是

  4000e0:   b8 01 00 00 00          mov    $0x1,%eax
  4000e5:   bb 2a 00 00 00          mov    $0x2a,%ebx
  4000ea:   cd 80                   int    $0x80

(此机器代码)我真正需要的一切？我做错了什么(endiannes？？)，也许我只需要用与 SIGSEGV 不同的方式调用它？

Answer 1

代码必须在具有执行权限的页面中。默认情况下，出于安全原因，堆栈和读写静态数据(如非常量全局变量)位于未经执行权限映射的页面中。

最简单的方法是使用 gcc -z execstack 进行编译，它链接您的程序，使堆栈和 全局变量(静态存储)映射到可执行页面中，并且使用 malloc 进行分配也是如此。

---

另一种不使一切可执行的方法是将此二进制机器代码复制到可执行缓冲区中。

#include <unistd.h>
#include <sys/mman.h>
#include <string.h>

char code[] = {0x55,0x48,0x89,0xe5,0x89,0x7d,0xfc,0x48,
    0x89,0x75,0xf0,0xb8,0x2a,0x00,0x00,0x00,0xc9,0xc3,0x00};
/*
00000000004004b4 <main> 55                          push   %rbp
00000000004004b5 <main+0x1>  48 89 e5               mov    %rsp,%rbp
00000000004004b8 <main+0x4>  89 7d fc               mov    %edi,-0x4(%rbp)
00000000004004bb <main+0x7>  48 89 75 f0            mov    %rsi,-0x10(%rbp)
'return 42;'
00000000004004bf <main+0xb>  b8 2a 00 00 00         mov    $0x2a,%eax
'}'
00000000004004c4 <main+0x10> c9                     leaveq 
00000000004004c5 <main+0x11> c3                     retq 
*/

int main(int argc, char **argv) { 
    void *buf;

    /* copy code to executable buffer */    
    buf = mmap (0,sizeof(code),PROT_READ|PROT_WRITE|PROT_EXEC,
                MAP_PRIVATE|MAP_ANON,-1,0);
    memcpy (buf, code, sizeof(code));
    __builtin___clear_cache(buf, buf+sizeof(code)-1);  // on x86 this just stops memcpy from optimizing away as a dead store

    /* run code */
    int i = ((int (*) (void))buf)();
    printf("get this done. returned: %d", i);

    return 0;
}

output:

get this done. returned: 42

RUN SUCCESSFUL (total time: 57ms)

没有 __builtin___clear_cache，this could break启用优化，因为 gcc 会认为 memcpy 是死存储并对其进行优化。为 x86 编译时，__builtin___clear_cache 实际上不清除任何缓存；额外指令为零；它只是将内存标记为“已使用”，因此存储到它的不会被视为“已死”。 (参见 the gcc manual。)

---

另一种选择是mprotect 包含char code[] 数组的页面，给它PROT_READ|PROT_WRITE|PROT_EXEC。无论是本地数组(在堆栈上)还是 .data 中的全局数组，这都有效。

或者如果它是 .rodata 部分中的 const char code[]，您可以只给它PROT_READ|PROT_EXEC。

(在大约 2019 年之前的 binutils ld 版本中，.rodata 被链接为与 .text 相同的段的一部分，并且已经映射为可执行文件。但是最近的 ld 给了它一个单独的段，因此它可以在没有 exec 权限的情况下进行映射，所以 const char code[] 不会给你一个可执行数组不再是了，但它曾经如此，所以你可以在其他地方使用这个旧建议。)