gpt4 book ai didi

找不到如何正确使用 ptrace()

转载 作者:太空宇宙 更新时间:2023-11-04 02:26:38 27 4
gpt4 key购买 nike

目前,对于一个项目,我需要使用 ptrace() 编写某种调试器。最后,它应该显示程序中进入/退出的每个函数/系统调用以进行跟踪。

现在,我被困住了。我制作了一个小程序,它应该尝试跟踪给定的程序,并根据操作码(通过寄存器检索)找到调用或系统调用时打印。在这里:

#include <sys/ptrace.h>
#include <sys/types.h>
#include <sys/wait.h>
#include <unistd.h>
#include <sys/reg.h>
#include <sys/syscall.h>
#include <sys/user.h>
#include <stdio.h>
#include <unistd.h>
#include <stdlib.h>

int main()
{
pid_t child;
const int long_size = sizeof(long);

child = fork();

if(child == 0) {
ptrace(PTRACE_TRACEME, 0, NULL, NULL);
execl("./bin", "bin", NULL);
} else {
int status;
unsigned ins;
struct user_regs_struct regs;
unsigned char prim, sec;

while (1) {
wait(&status);
if (WIFEXITED(status))
break;
ptrace(PTRACE_GETREGS, child, NULL, &regs);
ins = ptrace(PTRACE_PEEKTEXT, child, regs.rip, NULL);
prim = (unsigned)0xFF & ins;
sec = ((unsigned)0xFF00 & ins) >> 8;
if (prim == 0xE8 && sec == 0xCD)
printf("call found!\n");
if (prim == 0x80 && sec == 0xCD)
printf("syscall found!\n");
ptrace(PTRACE_SINGLESTEP, child, NULL, NULL);
}
}
return 0;
}

这是“bin”二进制文件的代码:

#include <unistd.h>

void toto()
{
write(1, "hello\n", 6);
}

int main()
{
toto();
toto();
return (1);
}

当我查看我的迷你调试器的输出时,它似乎只找到一个系统调用和一个调用...我试着弄乱寄存器和偏移量,但我在互联网上找到的每个教程似乎都是32 位机器,在我的情况下不起作用:/

有人可以给我一个小提示来帮助我继续吗?

谢谢,祝你有愉快的一天!

最佳答案

你快到了,但你的掩码(正如最初怀疑的那样)没有捕捉到 callq 操作码。使用 PTRACE_SINGLESTEP 也会捕获 大量 额外的 callq 代码,我不确定您是否意识到这一点或不是。

我静态编译了你的 bin 程序,所以你可以获得 maintoto 的一致地址

64 位机器上的 gcc bin.c -o bin -g -Wall -static

然后在主脚本中,我更改了 ins 变量的屏蔽操作:

#include <sys/ptrace.h>
#include <sys/types.h>
#include <sys/wait.h>
#include <unistd.h>
#include <sys/reg.h>
#include <sys/syscall.h>
#include <sys/user.h>
#include <stdio.h>
#include <unistd.h>
#include <stdlib.h>

int main()
{
pid_t child;

child = fork();

if(child == 0) {
ptrace(PTRACE_TRACEME, 0, NULL, NULL);
execl("./bin", "bin", NULL);
} else {
int status;
unsigned ins;
struct user_regs_struct regs;
unsigned char prim;

while (1) {
ptrace(PTRACE_SINGLESTEP, child, NULL, NULL);
wait(&status);
if (WIFEXITED(status))
break;
ptrace(PTRACE_GETREGS, child, NULL, &regs);
ins = ptrace(PTRACE_PEEKTEXT, child, regs.rip, NULL);
prim = (unsigned)0xFF & ins;
// Here in prim just mask for the first byte
if (prim == 0xe8) {
// Print the addresses to check out too
printf("RIP: %#x --> %#x\n", regs.rip, ins);
printf("call found!\n");
}
}
}
return 0;
}

你只需要屏蔽检查第一个字节,看它是否匹配call操作码。我添加了一些带有指令指针地址的额外打印语句,因此您可以检查静态源代码以确保您正在捕获正确的调用。

您可以从主程序重定向您的输出(我称之为 stepper):

./stepper > calls.txt

如果您随后执行 objdump -S bin > dump.txt,您可以看到 totomain 中的地址,其中 callq 指令也将在 calls.txt 文件中

您最终会从 crt 函数、链接器和库调用中进行所有额外调用。

关于找不到如何正确使用 ptrace(),我们在Stack Overflow上找到一个类似的问题: https://stackoverflow.com/questions/50238133/

27 4 0
Copyright 2021 - 2024 cfsdn All Rights Reserved 蜀ICP备2022000587号
广告合作:1813099741@qq.com 6ren.com