arrays - ptrace 改变另一个程序中的数组

Question

我正在尝试使用 ptrace 在运行时更改另一个程序变量，在我的例子中是一个虚拟 shell。

int main(void)
{
    char    buf[MAXLINE];
    fgets(buf, MAXLINE, stdin);
    if (buf[strlen(buf) - 1] == '\n')
        buf[strlen(buf) - 1] = 0;

    execlp("sh", "sh", "-c", buf, (char *)0);
    printf("couldn't execute: %s", buf);
    exit(127);
}

在我的注入(inject)器应用程序中，我使用 PTRACE_ATTACH 并监听 sys_read 系统调用；然后 PTRACE_GETREGS 尝试获取应该包含“buf”数组地址的寄存器。

    ptrace(PTRACE_SYSCALL, pid, 0, 0);
    wait(&status);
    ptrace(PTRACE_GETREGS, pid, 0, &regs);

    syscall_n = regs.orig_rax;
    if (syscall_n == SYS_read){
        switch(syscall_status){
        case STARTED:
            printf("Waiting user input... ");
            syscall_status = WAITING;
            break;

        case WAITING:
            printf("\t[  OK  ]\n");
            syscall_status = RETURNED;
            break;

        default:
            break;
        }
    }

虽然我可以在调用 fgets 时捕捉到正确的打开系统调用，但我不知道应该使用哪个寄存器来获取字符串数组的地址。或者有没有更好的获取方式。

所以我稍后可以使用 PEEKDATA 和 POKEDATA 来注入(inject)修改后的字符串。

顺便说一句，我已经阅读了“Playing with ptrace Part I”一文，但我不明白如何根据我的目的调整它。

Answer 1

首先，fgets() 不是系统调用，因此您不会使用 ptrace 捕获它。您将要捕获的是 sys_read() 或类似的系统调用。更重要的是，由于 stdio 中的 I/O 缓存，实际的 sys_read() 可能实际上使用与传递给原始 fgets() 的缓冲区和长度参数不同的缓冲区和长度参数来调用。

其次，要可靠地建立要检查的寄存器，您需要知道您正在使用的确切 ABI。例如，在 ARM/EABI 上，sys_read() 调用将期望寄存器“r1”中的缓冲区指针(寄存器“r0”保存第一个参数，例如文件描述符和寄存器“r2”保存长度)。在 x86 上它将是 ebx/ecx/edx 组合；在 amd64 上 - rdi/rsi/rdx。

如果您真的想跟踪更高级别函数的效果(与系统调用相反)，您将需要深入挖掘编译器生成的调试信息，因为它或多或少是执行此类操作的唯一方法(您可以尝试使用 elfutils 中的 libelf 库，就像 ltrace 实用程序一样)。实际上，您必须在适当的位置以编程方式设置断点，然后依靠调试信息来推断堆栈上的变量布局(以到达堆栈分配的缓冲区)。

考虑使用 ltrace 实用程序的源代码作为一个工作示例:

http://anonscm.debian.org/gitweb/?p=collab-maint/ltrace.git;a=tree;h=refs/heads/master;hb=refs/heads/master

顺便说一句，如果您使用的是足够新的内核，您可能会受益于使用 2 个新系统调用:process_vm_readv 和 process_vm_writev，它们可以操作远程进程内存“批量”，仅给定目标 PID 和地址(这是比 ptrace PEEK 和 POKE 更方便的方法)。

http://man7.org/linux/man-pages/man2/process_vm_readv.2.html