c - 在 ptrace 中捕获 malloc

Question

当 malloc 出现在 ptrace 内部时，我试图捕获。

我已经能够在调用 malloc 时 Hook ，所以我应该能够 capture通过一些自定义模块；但是，那是在使用动态库时(未使用 -static 标志)。

有没有办法以通用方式执行此操作？

如果我们看一下下面的程序集，我就知道我需要捕获的位置。我只是不知道如何:

  .file "new.c"
  .section  .rodata
.LC0:
  .string "Hello World"
  .text
  .globl  main
  .type main, @function
main:
.LFB2:
  .cfi_startproc
  pushq %rbp
  .cfi_def_cfa_offset 16
  .cfi_offset 6, -16
  movq  %rsp, %rbp
  .cfi_def_cfa_register 6
  subq  $16, %rsp
  movl  $4, %edi
  call  malloc ;<= TRAP HERE
  movq  %rax, -8(%rbp)
  movl  $.LC0, %edi
  call  puts
  movq  -8(%rbp), %rax
  movq  %rax, %rdi
  call  free
  leave
  .cfi_def_cfa 7, 8
  ret
  .cfi_endproc
.LFE2:
  .size main, .-main
  .ident  "GCC: (SUSE Linux) 4.8.1 20130909 [gcc-4_8-branch revision 202388]"
  .section  .note.GNU-stack,"",@progbits

来自 ptrace(2)，

PTRACE_SINGLESTEP

Restart the stopped tracee as for PTRACE_CONT, but arrange for the tracee to be stopped at the next entry to or exit from a system call, or after execution of a single instruction, respectively. (The tracee will also, as usual, be stopped upon receipt of a signal.)`

所以我相当确定我会需要那个选项。来自 tutorial我读过，我可以单步；但是，所有输出都没有任何意义。特别是如果我有某种输出语句。这是有输出时的简短输出:

RIP: 7ff6cc4387c2 Instruction executed: 63158b48c35d5e41
RIP: 7ff6cc4387c4 Instruction executed: 2f0663158b48c35d
RIP: 7ff6cc4387c5 Instruction executed: 2f0663158b48c3
RIP: 400c38 Instruction executed: 7500e87d83e84589
RIP: 400c3b Instruction executed: b93c7500e87d83
RIP: 400c3f Instruction executed: ba00000000b93c75
RIP: 400c41 Instruction executed: ba00000000b9
RIP: 400c46 Instruction executed: be00000000ba
RIP: 400c4b Instruction executed: bf00000000be
RIP: 400c50 Instruction executed: b800000000bf
RIP: 400c55 Instruction executed: fe61e800000000b8
RIP: 400c5a Instruction executed: bafffffe61e8
RIP: 400ac0 Instruction executed: a68002015a225ff
RIP: 400ac6 Instruction executed: ff40e90000000a68
RIP: 400acb Instruction executed: 9a25ffffffff40e9
RIP: 400a10 Instruction executed: 25ff002015f235ff
RIP: 400a16 Instruction executed: 1f0f002015f425ff
RIP: 7ff6ccf6c160 Instruction executed: 2404894838ec8348
RIP: 7ff6ccf6c164 Instruction executed: 244c894824048948
RIP: 7ff6ccf6c168 Instruction executed: 54894808244c8948
RIP: 7ff6ccf6c16d Instruction executed: 7489481024548948
....
Hello world
....

为什么IP的值(value)变化如此之大？这是因为我事先处于内核模式吗？

此外，执行的指令的输出看起来没有正确排列(就像它被分成几行)，但这可能只是我试图在没有模式的地方放置一个模式。

无论如何，这是我正在运行的程序的输出: 警告，讨厌的 C\C++ 混合体

#include <iostream>
#include <sys/ptrace.h>
#include <unistd.h>
#include <asm/unistd.h>
#include <sys/types.h>
#include <sys/wait.h>
#include <sys/syscall.h>
#include <sys/reg.h>
#include <sys/user.h>

#include <iomanip>

using namespace std;

///for when dealing with different archectures.
#if __WORDSIZE == 64
#define REG(reg) reg.orig_rax
#else
#define REG(reg) reg.orig_eax
#endif

int main()
{
  pid_t child;
  long orig_eax;
  const int long_size = sizeof(long);

  child = fork();

  long ins;
  if(child == 0)
  {
    ptrace(PTRACE_TRACEME, 0, NULL, NULL);
    execl("./dummy", "dummy", NULL);
  }
  else
  {
    ptrace(PTRACE_ATTACH, child, NULL, NULL);
    ptrace(PTRACE_SYSCALL, child, NULL, NULL);
    int status;
    union u {
      long val;
      char chars[long_size];
    }data;
    struct user_regs_struct regs;
    int start = 0;
    long ins;
    while(1)
    {
      wait(&status);
      if(WIFEXITED(status))
        break;
      ptrace(PTRACE_GETREGS,child, NULL, &regs);
      ins = ptrace(PTRACE_PEEKTEXT, child, regs.rip, NULL);
      cout << "RIP: " << hex << regs.rip << " Instruction executed: " << ins << endl;
      ptrace(PTRACE_SINGLESTEP, child, NULL, NULL);
    }
    ptrace(PTRACE_DETACH, child, NULL, NULL);
  }
}

如果需要任何其他信息，请告诉我。我知道我有点啰嗦，但如果有人回答了这个问题，我希望它能为下一个尝试学习 ptrace 的人提供足够的信息。

Answer 1

没有实用的方法来 Hook 将在所有静态链接的可执行文件中工作的malloc。为了通过任何方式 Hook 它，您需要知道它的地址。执行此操作的唯一方法是在可执行文件的符号表中查找 malloc，但由于它是静态链接的，因此不能保证它有一个。动态库必须有一个符号表才能动态链接，但由于静态链接程序是完全链接的，因此不需要符号表。

就是说，许多静态链接的可执行文件都会有一个符号表，因为如果没有符号表，调试几乎是不可能的。它们占用的额外尺寸不再是大问题。您可以使用 nm 命令检查您可能希望与您的应用程序一起使用的任何可执行文件，以了解此问题可能对您有何影响。

假设您有一个带有符号的可执行文件，下一个问题是如何实际读取程序中的符号。 ELF 格式并不那么简单，因此您可能想使用 BFD(来自 binutils)或 libelf 之类的东西。您也可以只从命令行使用 nm 并手动为您的问题提供地址。

一旦您获得了 malloc 的地址，您就可以通过在函数开始处设置断点来使用 ptrace 跟踪对其的调用。设置断点很简单。只需使用 PTRACE_PEEKTEXT 读取函数的第一个字节，将其保存在某处，然后使用 PTRACE_POKETEXT 将字节更改为 0xCC，即Intel x86 断点指令 (INT 3)。然后，当 malloc 被调用时，跟踪进程将被发送一个 SIGTRAP 信号，您可以拦截该信号。

那么你需要做的就更复杂了。您需要执行如下一系列步骤:

1. 读取寄存器和/或堆栈以找到 malloc 的参数并记录它们。
2. 使用PTRACE_POKETEXT恢复函数的原始第一个字节。
3. 从栈顶读取返回地址
4. 在 malloc 将返回的位置设置一个断点，保存旧值。
5. 从程序计数器 (EIP/RIP) 中减去 1(断点指令的大小)。
6. 继续运行跟踪的进程。您拦截的下一个 SIGTRAP 将在 malloc 返回之后。
7. 通过读取返回寄存器(EAX/RAX)记录malloc返回的值。
8. 使用PTRACE_POKETEXT去除返回地址处的断点
9. 使用PTRACE_POKETEXT将断点放回到malloc的开头
10. 从程序计数器中减去 1。
11. 继续运行跟踪的进程。

可能有些事情我没有想到，但这是您需要做的事情。

如果您只想使用自己编译的代码，那么有很多更简单的选择，例如使用 glibc 的内置支持 memory allocation hooks .