V2EX = way to explore
V2EX 是一个关于分享和探索的地方
现在注册
已注册用户请  登录
ng29
V2EX  ›  程序员

操作系统问题,关于函数地址空间

  •  
  •   ng29 · 2020-08-21 16:41:43 +08:00 · 2423 次点击
    这是一个创建于 1315 天前的主题,其中的信息可能已经有所发展或是发生改变。

    如题, 假如进程里有函数 fun1, 再进程启动时,malloc 一页内存,拷贝 fun1 的内容到 malloc 出来的内存,称拷贝后的函数为 fun2, 调用 fun1 和 fun2 使用 不同的参数, 问 fun2 是不是可以正常执行?

    考虑 fun2 是 fun1 改变了位置,如果有 jmp 指令是位置相关的,此时可不可以调整指令和字节数使得 fun2 可以正常运行直到 ret 返回。

    34 条回复    2020-11-02 17:18:48 +08:00
    ng29
        1
    ng29  
    OP
       2020-08-21 16:44:07 +08:00
    求解
    Jooooooooo
        2
    Jooooooooo  
       2020-08-21 16:50:28 +08:00
    啥意思

    两个线程运行同一段代码, 入参不一样?
    ng29
        3
    ng29  
    OP
       2020-08-21 16:52:38 +08:00
    @Jooooooooo 只有一个线程 函数代码段被 复制到另外一个地址 复制后的函数能直接用地址调用吗?
    fasionchan
        4
    fasionchan  
       2020-08-21 16:53:26 +08:00
    不行,malloc 出来的内存页是没有执行权限的。为什么呢?因为有一攻击叫栈溢出攻击。
    hsiang271828
        5
    hsiang271828  
       2020-08-21 16:55:02 +08:00
    我的理解是,fun1 的内容装载在代码段,拷贝出来的二进制放在新分配的堆中,不在代码段,寻址会出错无法运行
    ng29
        6
    ng29  
    OP
       2020-08-21 16:55:03 +08:00
    @fasionchan 用 set_page_protection 加上权限以后 可以吗 ? 主要考虑 里面的地址引用 是不是需要调整 以及怎么调整
    fasionchan
        7
    fasionchan  
       2020-08-21 17:06:02 +08:00
    @ng29 栈地址是通过 ebp 寄存器加上偏移量计算的,应该没影响;堆地址和静态全局变量都是完整地址,应该也没影响;而 if for 语句编译后的 jmp 指令是段内跳转,通过偏移量来进行,讲道理也不会有影响。具体你可以试试看,我好些年没做底层了,可能有错漏~
    fasionchan
        8
    fasionchan  
       2020-08-21 17:06:45 +08:00
    @ng29 不过这样做的意义何在,做实验?
    ng29
        9
    ng29  
    OP
       2020-08-21 17:07:37 +08:00
    @hsiang271828 调用的时候,会给这段空间执行权限以及 用 拷贝后的地址作为 函数指针; 我理解理论上是可以的 我的顾虑是 代码中有 jmp 相对跳转 会不会跳转错 ,这里只能去参考 intel 的文档了。。。
    ng29
        10
    ng29  
    OP
       2020-08-21 17:08:02 +08:00
    @fasionchan hook 的时候, 改一些逻辑
    ng29
        11
    ng29  
    OP
       2020-08-21 17:08:30 +08:00
    @fasionchan 比如一样的函数,传的参数不一样
    hythyt9898
        12
    hythyt9898  
       2020-08-21 17:10:48 +08:00
    看函数实现是不是地址无关代码( PIC )了,当然了你重新调整指令也是可以的,加壳软件都有类似流程。
    Jooooooooo
        13
    Jooooooooo  
       2020-08-21 17:10:54 +08:00
    @ng29 感觉你没有理解硬件是怎么跑代码的

    线程本身的栈数据是线程自己管理的, 而运行什么代码是完全另外一块空间存放, 一般同一段代码内存里面只会有一份, 操作系统会复用的
    ng29
        14
    ng29  
    OP
       2020-08-21 17:13:07 +08:00
    @Joooooooo 我是想 故意复制一份函数代码段
    fasionchan
        15
    fasionchan  
       2020-08-21 17:13:59 +08:00
    @ng29 hook 一般不是定义新函数,新函数调用就函数,程序编译时连接新函数吗?之前看过微信后台的协程库 libco 的源码,里面 hook 了所有阻塞型的系统调用,你可以参考一下: https://github.com/Tencent/libco,可能会有一些启发。
    ng29
        16
    ng29  
    OP
       2020-08-21 17:19:28 +08:00
    @fasionchan 如果是动态库的话,hook 是比较好操作,但是整个项目都是静态链接的,一般是用 inline hook 把旧函数的前几个字节 改成 jmp code 调到 新函数,我这里 是想 把 旧函数 挪到另外一个地方,先备份,后面调用的时候 给一个 自己修改后的 参数(修改寄存器或者栈),准备好参数后,再调用 fun2
    enenaaa
        17
    enenaaa  
       2020-08-21 17:21:55 +08:00
    当然可以。 就是内存 patch 啊。fun2 能不能正常执行,要看里面的地址相关指令是否都能兼容新地址。一般有长跳的话需要在搬移后手动改汇编指令。
    ng29
        18
    ng29  
    OP
       2020-08-21 17:24:15 +08:00
    @enenaaa 指令调整的话 有没有比较完善的方案,求一个
    mXw
        19
    mXw  
       2020-08-21 18:36:24 +08:00
    你这个需求,需要修改内存权限才可以,rwx,相当于执行 shellcode ;参数的话就按照调用约定给进去就行。
    secondwtq
        20
    secondwtq  
       2020-08-21 18:58:19 +08:00
    一方面是这块内存的内容允不允许被执行的问题
    另一方面是这块内存的内容里面有没有对非局部地址的引用

    如果有 RIP relative addressing 的话就比较麻烦
    liuminghao233
        21
    liuminghao233  
       2020-08-21 19:08:16 +08:00 via iPhone
    好像可以用 mprotect 改 x 权限
    但 malloc 默认是不会给你 x 权限的
    你把函数 copy 进去 带 x 权限的内存
    把 rsp rbp 弄好
    按照 x86 调用约定入参 rsi rdi...这些
    然后直接 jmp 或者 call 就行了
    lniwn
        22
    lniwn  
       2020-08-21 19:13:01 +08:00
    先说结论,是可行的,不过你不能用 malloc,而要用系统的内存分配 api,比如 win32 下的 HeapCreate,指定 PAGE_EXECUTE 权限。
    既然可以静态编译,那说明你已经有对应的库文件了,ida 抠出来,重新实现一遍是最简单的方式,然后 hook 原函数到新实现的函数。
    limboMu
        23
    limboMu  
       2020-08-21 19:22:11 +08:00
    还可以把代码段的数据拷贝到堆区执行吗?学到了,不过执行的时候参数都是会在栈区保留,唯一的区别就是如果函数内有超出函数边界的相对跳转,就有响应的,其他的情况应该没啥问题。
    ng29
        24
    ng29  
    OP
       2020-08-21 19:49:32 +08:00
    @liuminghao233 是这样的 不过我有一个顾虑 就是函数里面有跳转指令的时候 可能有相对位置的 不知道这样的怎么跳转 想找一个通用的方案(适用于绝大多数函数)
    ng29
        25
    ng29  
    OP
       2020-08-21 19:54:36 +08:00
    @lniwn 对一个函数比较好操作,如果做成通用的,有没有推荐的参考资料或代码
    ng29
        26
    ng29  
    OP
       2020-08-21 20:08:19 +08:00
    原来的问题 也可以改成, 拿一块 代码段 到 自己申请的内存并 变为 位置无关代码
    liuminghao233
        27
    liuminghao233  
       2020-08-21 20:55:50 +08:00
    @ng29
    你需要禁止编译器生成位置无关代码 再加上-mcmodel=large
    比如说 g++ main.cpp -o main -fno-pie -mcmodel=large
    这样你引用变量的地址是绝对地址 而不是 rip relative 的
    yangbonis
        28
    yangbonis  
       2020-08-21 21:53:37 +08:00 via iPhone
    你是在说 dlopen 吗?
    yangbonis
        29
    yangbonis  
       2020-08-21 22:03:47 +08:00 via iPhone
    或者反射?
    ng29
        30
    ng29  
    OP
       2020-08-21 22:26:10 +08:00
    @liuminghao233 感谢 minghao 我做实验试下
    mingl0280
        31
    mingl0280  
       2020-08-21 22:38:41 +08:00
    可行,远程线程代码注入中的一步就是这么实现的.
    VirtualAllocEx 分配内存同时指定 PAGE_EXECUTE_READWRITE 权限以后用 WriteProcessMemory 将编译后的函数的首地址和函数长度的内存复制到远程线程中,然后给一发 CreateRemoteThread 就可以直接在远程进程里跑你的函数了.
    具体资料你完全可以参考 WINAPI 的远程代码注入.
    mingl0280
        32
    mingl0280  
       2020-08-21 22:43:28 +08:00
    @ng29 函数内跳转指令不存在问题,只要你的函数内跳转指令符合以下要求:
    - 不指向在本程序内定义的其它函数,即跳转指令执行的都是处于共享内存区的.
    - 不存在可能触发 longjmp 或者其它导致函数退出的指令
    另外禁止位置无关代码不会有效的,代码空间不一样了,没法跳转到你自己的内存区继续执行的.
    pythonee
        33
    pythonee  
       2020-08-22 14:05:30 +08:00
    期待实验结果
    ng29
        34
    ng29  
    OP
       2020-11-02 17:18:48 +08:00
    测试是可以的 一个函数挪动位置,修改 rip relative 的指令,将 偏移修正后 就可以正常调用了,可以作为 hook 的一种方式 总结了一下中间学的东西 http://www.oneyearago.me/2020/09/27/hook_and_internal/
    关于   ·   帮助文档   ·   博客   ·   API   ·   FAQ   ·   我们的愿景   ·   实用小工具   ·   3123 人在线   最高记录 6543   ·     Select Language
    创意工作者们的社区
    World is powered by solitude
    VERSION: 3.9.8.5 · 30ms · UTC 12:42 · PVG 20:42 · LAX 05:42 · JFK 08:42
    Developed with CodeLauncher
    ♥ Do have faith in what you're doing.