76

将可执行文件加载到 gdb 后，如何在执行第一条指令之前在入口点中断？

我正在分析的可执行文件是一段经过加密的恶意软件，因此break main完全没有任何作用。

4

5 回答 5

89

从 GDB 8.1 开始，有一个特殊的命令：starti. 示例 GDB 会话：

$ gdb /bin/true
Reading symbols from /bin/true...(no debugging symbols found)...done.
(gdb) starti
Starting program: /bin/true 

Program stopped.
0xf7fdd800 in _start () from /lib/ld-linux.so.2
(gdb) x/5i $pc
=> 0xf7fdd800 <_start>: mov    eax,esp
   0xf7fdd802 <_start+2>:       call   0xf7fe2160 <_dl_start>
   0xf7fdd807 <_dl_start_user>: mov    edi,eax
   0xf7fdd809 <_dl_start_user+2>:       call   0xf7fdd7f0
   0xf7fdd80e <_dl_start_user+7>:       add    ebx,0x1f7e6
于 2018-02-02T18:01:46.613 回答
74

该info files命令可能会为您提供一个可以中断的地址：

(gdb) info files
    ...
    Entry point: 0x80000000
    ...
(gdb) break *0x80000000
(gdb) run
于 2012-05-07T14:15:56.507 回答
20

这个 hack 已经过时了starti，但如果你被旧的 GDB 卡住了，它会很有用。

不费吹灰之力的解决方案是使用失败的副作用来设置断点：

$ gdb /bin/true
Reading symbols from /bin/true...(no debugging symbols found)...done.
(gdb) b *0
Breakpoint 1 at 0x0
(gdb) r
Starting program: /bin/true 
Warning:
Cannot insert breakpoint 1.
Cannot access memory at address 0x0

(gdb) disas
Dump of assembler code for function _start:
=> 0xf7fdd800 <+0>:     mov    eax,esp
   0xf7fdd802 <+2>:     call   0xf7fe2160 <_dl_start>
End of assembler dump.

(gdb) d 1       # delete the faulty breakpoint

（您需要delete先到无效断点，然后才能继续或单步执行。）

从这个答案中得到的想法 RE.SE。

于 2017-05-01T16:02:54.797 回答
7

" b _start" 或 " b start" 可能会或可能不会起作用。如果没有，使用 readelf/objdump 找出入口点地址并使用“ b *0x<hex address>”。

于 2012-05-07T14:16:07.450 回答
6

将可执行文件加载到 gdb 后，如何在执行第一条指令之前在入口点中断？

int main()您可以找到在使用之前和之后调用了哪些函数set backtrace past-main on，在它们上设置断点并重新启动程序：

>gdb  -q  main
Reading symbols from /home/main...done.
(gdb) set backtrace past-main on
(gdb) b main
Breakpoint 1 at 0x40058a: file main.cpp, line 25.
(gdb) r
Starting program: /home/main

Breakpoint 1, main () at main.cpp:25
25        a();
(gdb) bt
#0  main () at main.cpp:25
#1  0x0000003a1d81ed1d in __libc_start_main () from /lib64/libc.so.6
#2  0x0000000000400499 in _start ()
(gdb) b _start
Breakpoint 2 at 0x400470
(gdb) r
The program being debugged has been started already.
Start it from the beginning? (y or n) y
Starting program: /home/main

Breakpoint 2, 0x0000000000400470 in _start ()
于 2014-04-18T08:21:06.010 回答