1

我开发了一个简单的 pintool 来列出程序主要可执行映像的所有部分（迭代其所有部分），以及使用IMG_HighAddressand的上下限IMG_LowAddress；根据 Pin 的说法，这些返回了图像的明确限制。

令我惊讶的是，这些部分超出了这些函数报告的上下限。我做错了什么，还是这些功能不准确？

我的图像加载功能：

VOID ImageLoad(IMG img, VOID *v)
{

if (!IMG_IsMainExecutable(img))
    return;

ADDRINT mainExeImageLowAddr = IMG_LowAddress(img);
ADDRINT mainExeImageHighAddr = IMG_HighAddress(img);    

cout << "Image limits " << hex << mainExeImageLowAddr << " - " << mainExeImageHighAddr << endl;

for (SEC sec = IMG_SecHead(img); SEC_Valid(sec); sec = SEC_Next(sec))
{   
    cout << "Section " << SEC_Name(sec) << " at addresses 0x" << hex << SEC_Address(sec) << " - 0x" << SEC_Address(sec)+SEC_Size(sec)-1 << endl;
}

}

在 /bin/ls 上运行它的结果：

Image limits 400000 - 418b23
Section .interp at addresses 0x400200 - 0x40021b
Section .note.ABI-tag at addresses 0x40021c - 0x40023b
Section .note.gnu.build-id at addresses 0x40023c - 0x40025f
Section .dynsym at addresses 0x4002c8 - 0x400eaf
Section .rela.dyn at addresses 0x401618 - 0x4017c7
Section .rela.plt at addresses 0x4017c8 - 0x402157
Section .init at addresses 0x402158 - 0x40216f
Section .plt at addresses 0x402170 - 0x4027df
Section .text at addresses 0x4027e0 - 0x412347
Section .fini at addresses 0x412348 - 0x412355
Section .rodata at addresses 0x412360 - 0x415e86
Section .eh_frame_hdr at addresses 0x415e88 - 0x41653b
Section .eh_frame at addresses 0x416540 - 0x41851b
Section .dynstr at addresses 0x41851c - 0x418b23
Section .ctors at addresses 0x619000 - 0x61900f
Section .dtors at addresses 0x619010 - 0x61901f
Section .jcr at addresses 0x619020 - 0x619027
Section .data.rel.ro at addresses 0x619040 - 0x619a87
Section .dynamic at addresses 0x619a88 - 0x619c57
Section .got at addresses 0x619c58 - 0x619cef
Section .got.plt at addresses 0x619cf0 - 0x61a037
Section .data at addresses 0x61a040 - 0x61a23f
Section .bss at addresses 0x61a240 - 0x61af5f
Section .gnu.conflict at addresses 0x61af60 - 0x61b6f7
Section .gnu_debuglink at addresses 0x0 - 0xf
Section .gnu.prelink_undo at addresses 0x0 - 0x8ff
Section .shstrtab at addresses 0x0 - 0x12d
4

1 回答 1

2

我做错什么了吗

不必要。

看起来 Pin 正在尝试将 ELF 概念映射到特定于 Windows 的概念，并且没有一对一的映射。

英特尔文档IMG_HighAddress说：

Tells the highest address of any code or data loaded by the image.
This is the address of the last byte loaded by the image.

但这究竟是什么意思？

ELF 图像加载由PT_LOAD段定义。您可以在来自readelf -Wl a.out.

通常会有两个LOAD段：一个带有r-x保护覆盖.text、.rodata和其他只读部分，第二个带有rw-保护、覆盖.data和.bss其他可写部分。

它看起来（从您的输出）就像IMG_HighAddress只描述LOAD第一段。

您还应该注意，并非所有部分都LOAD可以使用，并且不可使用的LOAD部分通常不会被任何段覆盖（并且在运行时不占用内存）。各个.debug*部分通常是不能的LOAD。

于 2017-01-10T01:16:34.810 回答