6

まず、この投稿が長くなって申し訳ありませんが、問題を明確に説明したかったのです。

C で一種の小さな自己修正プログラムを作成しようとしていますが、いくつかの問題があり、その理由が正確にはわかりません。

プラットフォーム: Ubuntu/Linux 2.6.32-40 x86_64、prog は x86 arch でビルド、gcc (Ubuntu 4.4.3-4ubuntu5.1) 4.4.3、GNU ld (Ubuntu の GNU Binutils) 2.20.1-system.20100303

プログラムの目的は、 ( memalign(3)およびmprotect(2)を使用して) メモリの読み取り/書き込み/実行のチャンクを作成し、このメモリのチャンクで (セグメントで定義された)呼び出された小さな関数をコピーしてから、ポインターを介して関数をコピーしました。この関数は、 を使用してメッセージを表示するだけです。p().textp()printf(puts)

のコードの開始アドレスと終了アドレスを取得するp()(コピーする) ために、関数自体のアドレスと in の直後に作成される関数のアドレスを使用しdummy()ます。p().text

int p() { ... }       <- address where the copy starts
int dummy() { ... }   <- address where the copy stops

チャンク メモリの作成とコピーは正常に行われますが、チャンク内のコードが実行されると segfault が発生します。これを使用gdbすると、チャンクのコード (コピーされた関数の本体) に入力することは明らかですが、printf の呼び出しは失敗しました。関数とチャンク内のコードを逆アセンブルするp()と、「呼び出し」で使用されるアドレスが同じではないことがわかります。

そして、なぜアドレスが間違っているのかわかりません。コードをコピーすると、それが表示され、p()関数を逆アセンブルしたときに objdump (または gdb) が私に与えたものと同じです。

の再配置プロセスに関する-static潜在的な問題を回避するために、バイナリは で作成されます。コピーされた関数の先頭が実行されるため、でコードを実行しても問題はないようです( で確認してください)。got/pltld.soheapgdb

プログラムの簡略化された src :

<... skip include/checks ...>
#define newline()   putchar('\n')

/* - function copied in the chunk */ 
int p()
{
    printf("hello world\n");
    return 0;
}

/* - dummy function to get last address of p() */
int dummy() { return 0; }

int main()
{
    char *s, *code, *chunk;
    unsigned int pagesz, sz;
    int (*ptr)(void);

    pagesz = sysconf(_SC_PAGE_SIZE);
    chunk = (char*)memalign(pagesz, 4 * pagesz);
    mprotect(chunk, 4 * pagesz, PROT_WRITE|PROT_EXEC|PROT_READ);

    /* - get size, display addr */
    sz = (char *)dummy - (char *)p;
    printf("Copy between  : %p - %p\n", (char *)p, (char *)dummy);
    printf("Copy in chunk : %p - %p\n", chunk, chunk + sz, sz);

    /* - copy code (1 byte in supp) */
    printf("Copied code   : ");
    for(s = (char *)p, code = chunk; \
            s <= (char *)dummy; s++, code++) {

       *code = *s;     
       /* - write in console -- to check if code of p() after disas
        * it with objdump(1) is the same, RESULT : ok */
        printf("%02x ", *(unsigned char *)code);
    }
    newline();

    /* - run once orginal function */
    ptr = p;
    ptr();

    /* - run copied function (in chunk) */
    ptr = (int (*)(void))chunk;
    ptr(); 

    newline();
    free(chunk);
    return 0;
}

p()によって逆アセンブルされた関数objdump(1):

080483c3 <p>:
 80482c0:       55                      push   %ebp
 80482c1:       89 e5                   mov    %esp,%ebp
 80482c3:       83 ec 18                sub    $0x18,%esp
 80482c6:       c7 04 24 a8 d9 0a 08    movl   $0x80ad9a8,(%esp)
 80482cd:       e8 7e 0c 00 00          call   8048f50 <_IO_puts>
 80482d2:       b8 00 00 00 00          mov    $0x0,%eax
 80482d7:       c9                      leave  
 80482d8:       c3                      ret    

080483dc <dummy>:
 ....

プログラムを gdb(1) で実行すると、コピーされたコードは上記の objdump(1) と同じ (16 進値) になります。

# gcc -m32 -o selfmodif_light selfmodif_light.c -static -g -O0

# gdb -q ./selfmodif_light
Reading symbols from /path/.../selfmodif_light...done.

(gdb) list 55
50          /* - run once orginal function */
51          ptr = p;
52          ptr();
53
54          /* - run copied function (in chunk) */
55          ptr = (int (*)(void))chunk;

<<< The problem is here >>>

56          ptr();
57      
58          newline();
59          free(chunk);

(gdb) br 56
Breakpoint 1 at 0x8048413: file tmp.c, line 56.

(gdb) run
Starting program: /path/.../selfmodif_light
Copy between  : 0x80482c0 - 0x80482d9
Copy in chunk : 0x80d2000 - 0x80d2019
Copied code   : 55 89 e5 83 ec 18 c7 04 24 a8 d9 0a 08 e8 7e 0c 00 00 b8 00 00 00 00 c9 c3 55
hello world

Breakpoint 1, main () at tmp.c:56
56          ptr();

main を見ると、次に chunk に入ります:

(gdb) disas main
Dump of assembler code for function main:
   0x080482e3 <+0>: push   %ebp
    ... <skip> ...

=> 0x08048413 <+304>:   mov    0x18(%esp),%eax
   0x08048417 <+308>:   call   *%eax

    ... <skip> ...
   0x08048437 <+340>:   ret
End of assembler dump.

しかし、p() とチャンクが逆アセンブルされると、p() 関数の like のcall 0x80d2c90代わりにメモリ チャンクに がありますか? call 0x8048f50 <puts>そのため、表示されるアドレスは同じではありません。

(gdb) disas p
Dump of assembler code for function p:
   0x080482c0 <+0>:     push   %ebp
   0x080482c1 <+1>:     mov    %esp,%ebp
   0x080482c3 <+3>:     sub    $0x18,%esp
   0x080482c6 <+6>:     movl   $0x80ad9a8,(%esp)
   0x080482cd <+13>:    call   0x8048f50 <puts> <<= it is not the same address
   0x080482d2 <+18>:    mov    $0x0,%eax
   0x080482d7 <+23>:    leave  
   0x080482d8 <+24>:    ret
End of assembler dump.
(gdb) disas 0x80d2000,0x80d2019
Dump of assembler code from 0x80d2000 to 0x80d2019:
   0x080d2000:  push   %ebp
   0x080d2001:  mov    %esp,%ebp
   0x080d2003:  sub    $0x18,%esp
   0x080d2006:  movl   $0x80ad9a8,(%esp)
   0x080d200d:  call   0x80d2c90             <<= than here (but it should be ??)
   0x080d2012:  mov    $0x0,%eax
   0x080d2017:  leave  
   0x080d2018:  ret
End of assembler dump.

メモリをチェックすると、コードは同一のようです。この時点で、何が起こっているのか理解できません。何が問題なのですか? gdb の解釈に失敗しました。コードのコピーか何か?

(gdb) x/25bx p // code of p in .text
0x80482c0 <p>:  0x55    0x89    0xe5    0x83    0xec    0x18    0xc7    0x04
0x80482c8 <p+8>:    0x24    0xa8    0xd9    0x0a    0x08    0xe8    0x7e    0x0c
0x80482d0 <p+16>:   0x00    0x00    0xb8    0x00    0x00    0x00    0x00    0xc9
0x80482d8 <p+24>:   0xc3

(gdb) x/25bx 0x80d2000 // code of copy in the chunk
0x80d2000:  0x55    0x89    0xe5    0x83    0xec    0x18    0xc7    0x04
0x80d2008:  0x24    0xa8    0xd9    0x0a    0x08    0xe8    0x7e    0x0c
0x80d2010:  0x00    0x00    0xb8    0x00    0x00    0x00    0x00    0xc9
0x80d2018:  0xc3

ブレークポイントが設定されている場合、メモリ チャンクで実行が続行されます。

(gdb) br *0x080d200d
Breakpoint 2 at 0x80d200d
(gdb) cont
Continuing.

Breakpoint 2, 0x080d200d in ?? ()
(gdb) disas 0x80d2000,0x80d2019
Dump of assembler code from 0x80d2000 to 0x80d2019:
   0x080d2000:  push   %ebp
   0x080d2001:  mov    %esp,%ebp
   0x080d2003:  sub    $0x18,%esp
   0x080d2006:  movl   $0x80ad9a8,(%esp)
=> 0x080d200d:  call   0x80d2c90
   0x080d2012:  mov    $0x0,%eax
   0x080d2017:  leave
   0x080d2018:  ret
End of assembler dump.
(gdb) info reg eip
eip            0x80d200d    0x80d200d
(gdb) nexti
0x080d2c90 in ?? ()
(gdb) info reg eip
eip            0x80d2c90    0x80d2c90
(gdb) bt
#0  0x080d2c90 in ?? ()
#1  0x08048419 in main () at selfmodif_light.c:56

したがって、この時点で、プログラムがそのように実行されてセグメンテーション違反が発生するか、$eip が変更されてプログラムがエラーなしで終了します。

(gdb) set $eip = 0x8048f50
(gdb) cont
Continuing.
hello world

Program exited normally.
(gdb)

何が起こっているのか、何が失敗したのかわかりません。コードのコピーは問題ないように見えます。メモリ チャンクへのジャンプも同様です。では、なぜ (呼び出しの) アドレスが適切ではないのでしょうか?

あなたの答えとあなたの時間をありがとう

4

1 に答える 1

7
80482cd:       e8 7e 0c 00 00          call   8048f50

これは相対 CALL (+0xC7E へ) です。その命令を別の EIP に移動する場合は、オフセットを変更する必要があります。

于 2012-04-11T17:21:40.873 に答える