4

我正在编写一个程序来替换另一个进程的内存中的一串字节。它需要用 C 编写，因为我的目标平台不支持任何更高级别的语言。

最初，我不是直接跳转到内存修改，而是尝试将内存读入缓冲区，以便我可以识别字节字符串所在的偏移量，然后我可以开始修改它。

我已经阅读了我能找到的所有堆栈溢出问题和代码示例，以及手册页和一些一般性的试验和错误。我的 C 有点生锈，所以这被证明是相当具有挑战性的。我读过的例子似乎采取了两种不同的方法：

  • ptrace_attatch 到目标进程，使用多次调用 ptrace_peekdata 从偏移量读取 (int) 大小的内存块。

或者

  • ptrace_attatch，打开 /proc/pid/mem，并使用 /proc/pid/maps 中列出的偏移量来 lseek 和 read() 出给定数量的字节。

这是我的代码。

要附加到的程序：

#include <stdio.h>

int main(int argc, char *argv[]){


printf("Spinning up....\n");
char changeme[6] = "AAAAA";
printf("ready for change....\n");

 getchar();

 printf("changeme is %s\n", changeme);  

    return 0;
}

转储内存的程序：

#include <stdio.h>
#include <stdlib.h>
#include <string.h>
#include <sys/ptrace.h>
#include <sys/types.h>
#include <sys/wait.h>
#include <sys/user.h>
#include <sys/syscall.h>
#include <unistd.h>
#include <limits.h>
#include <stdint.h>
#include <fcntl.h>
#include <wait.h>
#include <errno.h>


int main(int argc, char *argv[]){
char mempath[PATH_MAX];

 uintptr_t const address = strtoul(argv[2], NULL, 0);

int waitval = 0;

   pid_t target_process = atoi(argv[1]);
   struct user_regs_struct regs;
   int readbytes = 0;
   if (ptrace(PTRACE_ATTACH,target_process,NULL,NULL))
           perror("attach");
     printf("attatched!\n");

     waitpid(target_process, NULL, 0);
     sprintf(mempath, "/proc/%s/mem", argv[1]);
     printf("ready! opening %s\n", mempath);

     int memfd = open(mempath, O_RDONLY);
     printf("memfd = %d\n", memfd);
     char *outbuf = malloc(_SC_PAGE_SIZE);
     printf("trying to read %d bytes from offset %lu\n",_SC_PAGE_SIZE,address);

     if (outbuf){
      lseek(memfd, address, SEEK_SET);
      readbytes = read(memfd, outbuf, _SC_PAGE_SIZE);
     if (_SC_PAGE_SIZE == readbytes)
        printf("read success! - %s\n", outbuf);
     else
        printf("readfailed! read %d bytes: %s\n", readbytes, outbuf);
      printf("oh noes! %s\n", strerror(errno));
     free(outbuf);
    }

    return 0;
}

和终端输出：

1号航站楼：

[10:59] tel0s@Relentless:~/research$ ./changeme 
Spinning up....
ready for change....

2号航站楼：

[11:35] tel0s@Relentless:~/research$ ps aux | grep changeme
tel0s     7763  0.0  0.0   4076   352 pts/2    S+   10:59   0:00 ./changeme
tel0s     8297  0.0  0.0   8948   928 pts/1    S+   11:35   0:00 grep --colour=auto changeme
[11:35] tel0s@Relentless:~/research$ cat /proc/7763/maps
00400000-00401000 r-xp 00000000 fd:00 2260791                            /home/tel0s/research/changeme
00600000-00601000 r--p 00000000 fd:00 2260791                            /home/tel0s/research/changeme
00601000-00602000 rw-p 00001000 fd:00 2260791                            /home/tel0s/research/changeme
7fb2cfc56000-7fb2cfdf7000 r-xp 00000000 fd:00 4890420                    /lib64/libc-2.17.so
7fb2cfdf7000-7fb2cfff6000 ---p 001a1000 fd:00 4890420                    /lib64/libc-2.17.so
7fb2cfff6000-7fb2cfffa000 r--p 001a0000 fd:00 4890420                    /lib64/libc-2.17.so
7fb2cfffa000-7fb2cfffc000 rw-p 001a4000 fd:00 4890420                    /lib64/libc-2.17.so
7fb2cfffc000-7fb2d0000000 rw-p 00000000 00:00 0 
7fb2d0000000-7fb2d0022000 r-xp 00000000 fd:00 4888842                    /lib64/ld-2.17.so
7fb2d01f2000-7fb2d01f5000 rw-p 00000000 00:00 0 
7fb2d021e000-7fb2d0221000 rw-p 00000000 00:00 0 
7fb2d0221000-7fb2d0222000 r--p 00021000 fd:00 4888842                    /lib64/ld-2.17.so
7fb2d0222000-7fb2d0223000 rw-p 00022000 fd:00 4888842                    /lib64/ld-2.17.so
7fb2d0223000-7fb2d0224000 rw-p 00000000 00:00 0 
7fff03290000-7fff032b1000 rw-p 00000000 00:00 0                          [stack]
7fff03394000-7fff03395000 r-xp 00000000 00:00 0                          [vdso]
ffffffffff600000-ffffffffff601000 r-xp 00000000 00:00 0                  [vsyscall]

[11:36] tel0s@Relentless:~/research$ sudo ./writeprocmem 7763 400000 
attatched!
ready! opening /proc/7763/mem
memfd = 3
trying to read 30 bytes from offset 400000
readfailed! read -1 bytes: 
oh noes! Input/output error

由于可能的原因，我的直接想法是：

  • 我完全搞砸了我的逻辑，而且我没有正确使用 Ptrace。
  • 由于gets（），我的changeme程序处于奇怪的状态，这就是为什么我无法阅读（我尝试使用bash实例，但是我有相同的输出）
  • 我没有为我的偏移量投射/使用正确的类型，这就是读取失败的原因

任何帮助都会非常好，我宁愿回答概述我正在犯的错误，而不是直接给我工作代码，因为我想从根本上理解这一点，而不仅仅是让我的代码正常工作。

4

2 回答 2

2

您应该检查系统调用的返回状态。如果它们失败了，errno 将被设置以指示出了什么问题，并且您可以使用 perror() 显示相关的文本。

例如：

if (lseek(memfd, address, SEEK_SET) < 0) {
   perror("lseek");
}
readbytes = read(memfd, outbuf, _SC_PAGE_SIZE);
if (readbytes < 0) {
   perror("read");
}

罗伊希尔斯

于 2013-04-26T13:43:16.620 回答
1 
uintptr_t const address = strtoul(argv[2], NULL, 0);

[11:36] tel0s@Relentless:~/research$ sudo ./writeprocmem 7763 400000

printf("trying to read %d bytes from offset %lu\n",_SC_PAGE_SIZE,address);

你告诉 strtoul 基数为零，来自 /proc//maps 的地址是十六进制的，你正在调试以十进制打印它。不幸的是，您的地址恰好是一个有效的十六进制和十进制数字。

或者，在命令行上使用 0x400000 或者告诉 strtoul 使用 base 0x10

您还想使用 sysconf(_SC_PAGESIZE) 或 getpagesize()。

于 2013-12-06T13:04:45.177 回答