Linux x64堆栈在信号处理程序内部展开,以修改返回地址
Linux x64 stack unwinding inside signal handler, to modify return address
我正在尝试修改调用堆栈上的返回地址(一些级别更低)。当我在信号处理程序内部时,我需要这样做。因此,我正在做以下事情:
#include <csignal>
#include <cstdint>
#include <iostream>
// To print stacktrace
#include <execinfo.h>
#include <stdlib.h>
void printAround(uint64_t* p, int min=0, int max=3) {
for(int i = min; i <= max; ++i) {
std::cout << std::dec << ((i >= 0) ? " " : "") << i << ": "
<< std::hex
<< reinterpret_cast<uint64_t>(*(p + i))
<< std::dec << std::endl;
}
std::cout << "================================================" << std::endl;
}
void sigHandler(int signum) {
register uint64_t* EBP asm ("rbp");
printAround(EBP);
uint64_t *oldEBP = reinterpret_cast<uint64_t*>(*EBP);
printAround(oldEBP);
oldEBP = reinterpret_cast<uint64_t*>(*oldEBP);
printAround(oldEBP);
/* PRINT STACK TRACE!! POSSIBLY UNSAFE! */
void *array[10];
size_t size;
char **strings;
size_t i;
size = backtrace(array, 10);
strings = backtrace_symbols(array, size);
std::cout << "nObtained " << size << " stack frames.n";
for (i = 0; i < size; i++) {
std::cout << strings[i] << "n";
}
free(strings);
/* END PRINT STACK TRACE !! */
}
int foo(void) {
std::raise(SIGTRAP);
return 5;
}
int baz(void) {
return foo() + 10;
}
int bar(void) {
return baz() + 15;
}
int main(int argc, char **argv) {
// SIGTRAP is 0xCC
std::signal(SIGTRAP, &sigHandler);
return bar();
}
相应的输出为:
0: 7ffda9664a10
1: 7faf5777c4b0
2: 1
3: 0
================================================
0: 7ffda9664a20
1: 557f2a7bdf21
2: 7ffda9664a30
3: 557f2a7bdf2f
================================================
0: 7ffda9664a30
1: 557f2a7bdf2f
2: 7ffda9664a50
3: 557f2a7bdf59
================================================
Obtained 9 stack frames.
./main(+0xe41) [0x557f2a7bde41]
/lib/x86_64-linux-gnu/libc.so.6(+0x354b0) [0x7faf5777c4b0]
/lib/x86_64-linux-gnu/libc.so.6(gsignal+0x38) [0x7faf5777c428]
./main(+0xf11) [0x557f2a7bdf11] => foo
./main(+0xf21) [0x557f2a7bdf21] => baz
./main(+0xf2f) [0x557f2a7bdf2f] => bar
./main(+0xf59) [0x557f2a7bdf59] => main
/lib/x86_64-linux-gnu/libc.so.6(__libc_start_main+0xf0) [0x7faf57767830]
./main(+0xba9) [0x557f2a7bdba9]
偏移量0是上一个堆栈的基指针,偏移量1是返回地址。
从输出中可以看出,第一个返回地址是libc中的第一个函数,但下一个已经是baz
,而不是foo
或我所期望的其他libc函数。
当我删除信号处理程序并将打印堆栈的逻辑放在foo
中时,我会看到我的所有函数:foo
、baz
、bar
、main
。。。
我在这里错过了什么?我确实需要修改触发信号的函数的返回地址,即foo,但在我的堆栈展开逻辑中跳过了这个地址:(
第页。S.我知道在信号处理程序中使用backtrace[2]是不安全的,因为它会导致未定义的行为!似乎我很幸运,当我删除所有回溯逻辑时,问题仍然存在!
此外,如果有人对如何解决这个问题有任何其他想法,我很高兴你能分享。我试图使用参数>0的__builtin_frame_address()
,但这在信号处理程序[1]中崩溃了。似乎有什么不同,我找不到任何关于什么的信息。
[1]https://gcc.gnu.org/onlinedocs/gcc/Return-Address.html
[2]https://www.gnu.org/software/libc/manual/html_node/Backtraces.html
从信号处理程序中修改返回地址的解决方案首先需要一种不同的方法来注册信号处理程序。
第一个代码:
#include <csignal>
#include <cstdint>
#include <iostream>
void signal_handler(int signal, siginfo_t *si, void *context)
{
const int return_delta = 2;
((ucontext_t*)context)->uc_mcontext.gregs[REG_RIP] += return_delta;
}
int foo(void)
{
asm(".byte 0xccn");
// "for(;;) ;" in a way that prevents the compiler from recognizing the
// remainder of the function as dead code and optimizing it away...
asm(".byte 0xEBn");
asm(".byte 0xFEn");
return 5;
}
int baz(void) {
return foo() + 10;
}
int bar(void) {
return baz() + 15;
}
int main(int argc, char **argv)
{
struct sigaction sa = {0};
sigemptyset(&sa.sa_mask);
sa.sa_sigaction = signal_handler;
sa.sa_flags = SA_SIGINFO;
// Install signal handler
sigaction(SIGTRAP, &sa, NULL);
// So that we see some output
size_t i{1000};
while(i--) {
std::cout << bar() << std::endl;
}
return 0;
}
CCD_ 9与CCD_。如果这样做,siginfo_t
将传递给信号处理程序,该处理程序包含有关信号本身的所有类型的信息。
此外,CCD_ 12被传递给已注册的信号处理器,该信号处理器包含关于寄存器和堆栈的状态的信息。您可以使用它将返回地址操纵到信号提升函数中。
请注意,这是高度特定于平台的。您应该使用ucontext.h
来查看结构在特定平台上的外观。
Hm,我从哪里开始。。。
首先,我担心x64默认情况下没有帧指针,所以没有简单的方法可以通过rbp
s的链来重建堆栈。此外,即使你用-fno-omit-frame-pointer
信号处理程序重新编译了所有参与的代码(包括Glibc!),内核也可能以一种非常特殊的方式设置帧,所以不能保证你能够通过帧指针来展开它。顺便说一句,这可能是__builtin_frame_address
运行时失败的原因。
接下来,您提到要通过更改编译器背后的返回地址来展开。没有什么比这更能引发运行时崩溃的了。编译器在函数框架中保存了大量关键信息。这些信息由调用函数和被调用函数之间的严格约定(即所谓的"调用约定")来保存。通过更改返回地址,您将丢弃所有这些信息,并很可能返回到寄存器中带有随机垃圾的目标代码。
实现堆栈展开的唯一合理方法是使用(或至少重新实现)现有的展开器(在libgcc、libunwind中,最好是在libbacktrace中)。
- 将数组的地址分配给变量并删除
- 使用C++库在Android项目中修改gradle中的cmake参数,用于插入指令的测试
- 空基优化子对象的地址
- C++ 指针的内存地址和指向数组的内存地址如何相同?
- 在C++中打印指向不同基元数据类型的指针的内存地址
- 如何在c++程序中找到函数的地址
- 独立读取-修改-写入顺序
- 向量元素的引用地址与它所指向的向量元素的地址不同.为什么
- 被解释为低级别const的const对象的地址
- 当系统的卷被修改时,如何修改WASAPI环回捕获卷
- 将地址分配给本地指针后,公共对象的变量将消失
- 如何保护类外用户可以修改的指针地址?C++
- Linux x64堆栈在信号处理程序内部展开,以修改返回地址
- C/Python绑定:指针地址修改
- 如何修改运行时加载DLL的导入地址表
- C++重新开始修改reverse_iterator的地址
- 未修改地址的指针
- 在不直接修改地址的情况下执行地址时引发异常
- visualstudio 2012-如何在c++中修改对象已知内存地址
- CPP修改的结构栈具有两个邻居的地址