Читать ПОЛУЧЕНО запись в Elf Binary - PullRequest
Новая
       18

Читать ПОЛУЧЕНО запись в Elf Binary

13 голосов
/ 10 февраля 2010

Я хочу написать трассировщик маленькой функции. Я использую ptrace. Я на Ubuntu x86_64. Я хочу найти адрес функции общей библиотеки (например, printf).

Но у меня есть некоторые проблемы и некоторые вопросы о Глобальной таблице смещений. У меня есть следующий код: 

size_t baseAddress = this->getBaseAddress();
Elf_Ehdr const * headerElf = static_cast<Elf_Ehdr const *> (this->_manager.readMemory((void*) baseAddress, sizeof (Elf_Ehdr)));
Elf_Phdr const * headerProgram = static_cast<Elf_Phdr const *> (this->_manager.readMemory((void*) (baseAddress + headerElf->e_phoff), headerElf->e_phentsize * headerElf->e_phnum));
unsigned int i = 0;
while (headerProgram[i].p_type != PT_DYNAMIC)
{
    ++i;
}
size_t addrToRead = headerProgram[i].p_vaddr;
Elf_Dyn const * dynSection = static_cast<Elf_Dyn const *> (this->_manager.readMemory((void*) addrToRead, sizeof (Elf_Dyn)));
while (dynSection->d_tag != DT_PLTGOT)
{
    addrToRead += sizeof (Elf_Dyn);
    dynSection = static_cast<Elf_Dyn const *> (this->_manager.readMemory((void*) addrToRead, sizeof (Elf_Dyn)));
}

size_t addrGot = dynSection->d_un.d_ptr/* + (4 * sizeof (Elf64_Word))*/;
std::cout << "addr got = " << std::hex << "0x" << dynSection->d_un.d_ptr << " 0x" << addrGot << std::endl;

Elf64_Word const * temp = (Elf64_Word const *) this->_manager.readMemory((void*) addrGot, sizeof (Elf64_Word));
struct link_map * linkList = (struct link_map *) this->_manager.readMemory((void*) *temp, sizeof (struct link_map));

Функция readMemory считывает в память отслеживаемого процесса.

Когда я пытаюсь прочитать linkList->l_ld, кажется, что он не указывает на динамический раздел.

Я не уверен, что мой код правильный. Когда я использую readelf, адрес секции GOT совпадает с найденной моей программой.

Я должен прочитать только первое смещение секции GOT или больше? Точка входа GOT содержит только абсолютный адрес, который указывает на struct link_map?

Спасибо.

Ответы [ 2 ]

2 голосов
/ 27 февраля 2010

Для этой цели уже есть реализация
http://binary.nahi.to/hogetrace/

Спорный вопрос делается с помощью библиотеки bfd.

Не так известен, как другие программы трассировки, но эта - лучшая, которую я знаю.

... За исключением точки, это имеет довольно значительные накладные расходы для внедрения всех точек останова.

И я сожалею о том, что ему нужна функциональность PTRACE_SINGLESTEP, которая не всегда доступна для каждой архитектуры процессора, такой как MIPS ...

0 голосов
/ 11 февраля 2010

Вам, наверное, стоит взглянуть на символ _DYNAMIC Elf, вот где я.

...