x86-64 - 是否可以用编译后的二进制文件中的虚拟对象替换特定函数的每个实例？

Question

是否可以改变现有 x86-64 二进制引用和/或调用一个特定函数的方式。具体来说，是否有可能在该函数正常执行时更改二进制文件，使其不发生任何事情(类似于 nop )？

我意识到有一些强大的专业工具(即反编译器/反汇编器)可以完成此类任务，但我真正想知道的是，可执行格式是否“足够”人类可读以能够执行此类任务东西(至少在小程序上)只有 vim 和一个十六进制编辑器。

某些可执行文件格式(例如 mach-o、elf，无论 Windows 使用什么，等等)是否比其他格式更具可读性？他们都是完全无法理解的胡言乱语吗？任何专家意见和/或好的起点/引用将不胜感激。

免责声明

有人走过来并迅速否决了这个问题的初始版本，所以我想完全清楚地说明这一点:我对禁用任何串行或安全检查或任何类似的东西不感兴趣。最初我想要一个程序停止发出令人恼火的噪音，但现在我只是对编译器和可执行文件的工作方式感到好奇。

我这样做是为了教育值(value)，我认为 SE 上的其他人会对答案感兴趣。但是，我很欣赏其他人可能对这个话题不太满意。如果您对我所说的内容有疑问，请发表评论，我保证我会更改帖子。

Answer 1

当有问题的函数在二进制文件本身中并使用标准调用约定时，这是微不足道的。例子:

void make_noise() { printf("Quack!\n"); }
int fn1() { puts("fn1"); make_noise(); return 1; }
int fn2() { puts("fn2"); make_noise(); return 2; }
int main() { puts("main"); return fn1() + fn2() - 3; }

gcc -w t.c -o a.out && ./a.out

此输出(预期):

main
fn1
Quack!
fn2
Quack!

现在让我们摆脱噪音:

gdb -q --write ./a.out
(gdb) disas/r make_noise
Dump of assembler code for function make_noise:
  0x000000000040052d <+0>:     55      push   %rbp
  0x000000000040052e <+1>:     48 89 e5        mov    %rsp,%rbp
  0x0000000000400531 <+4>:     bf 34 06 40 00  mov    $0x400634,%edi
  0x0000000000400536 <+9>:     e8 d5 fe ff ff  callq  0x400410 <puts@plt>
  0x000000000040053b <+14>:    5d      pop    %rbp
  0x000000000040053c <+15>:    c3      retq   
End of assembler dump. 

这告诉我们一些事情:

我们要删除的函数从地址 0x40052d 开始

retq的操作码指令是 0xC3 .

让我们打补丁 retq作为 make_noise的第一条指令，看看会发生什么:

(gdb) set *(char*)0x40052d = 0xc3
(gdb) disas make_noise
Dump of assembler code for function make_noise:
  0x000000000040052d <+0>:     retq   
  0x000000000040052e <+1>:     mov    %rsp,%rbp
  0x0000000000400531 <+4>:     mov    $0x400634,%edi
  0x0000000000400536 <+9>:     callq  0x400410 <puts@plt>
  0x000000000040053b <+14>:    pop    %rbp
  0x000000000040053c <+15>:    retq   
End of assembler dump.

有效!

(gdb) q
Segmentation fault (core dumped)   ## This is a long-standing GDB bug

现在让我们运行打补丁的二进制文件:

$ ./a.out
main
fn1
fn2

瞧!无噪音。

如果函数在不同的二进制文件中， LD_PRELOAD Florian Weimer 提到的技术通常比二进制补丁更容易。