我正在尝试从另一个程序加载静态链接的程序并执行它。我的步骤是:
- 解析 ELF
- 解析程序标头中的段
- 对于每个PT_LOAD
- 加载它
- 跳转到起始地址
如果elf_bytes
是 mmap'ed ELF 文件,则加载PT_LOAD段load(&p, elf_bytes + p.p_offset)
。
加载功能:
int load(const Elf64_Phdr *phdr, const void *elf_bytes_for_phdr) {
fprintf(stderr, "loading phdr of type %x from 0x%x to +=%zu bytesn", phdr->p_type, phdr->p_vaddr, phdr->p_memsz);
const size_t pagesize = getpagesize();
const size_t unaligned_bytes = phdr->p_vaddr % pagesize;
void *base_addr = phdr->p_vaddr - unaligned_bytes;
size_t total_bytes = phdr->p_memsz + unaligned_bytes;
void *region = mmap(
base_addr,
total_bytes,
phdr->p_flags,
MAP_FIXED | MAP_PRIVATE | MAP_ANONYMOUS,
0, 0
);
if (region != MAP_FAILED) {
memset(region, 0, unaligned_bytes);
// return memcpy(region + unaligned_bytes, elf_bytes_for_phdr, phdr->p_filesz) == region + unaligned_bytes;
return memset(region + unaligned_bytes, /*elf_bytes_for_phdr*/0, 1) == region + unaligned_bytes;
}
return 1;
}
memset和memcpy都失败了;内核在地址0x400000发送一个SIGSEGV,这恰好是region
。那里什么都没有:
gdb$ shell pmap 10751
00007ff000000000 8K r-x-- ld_simple_loader
00007ff000201000 4K r---- ld_simple_loader
00007ff000202000 4K rw--- ld_simple_loader
00007ffff79e4000 1948K r-x-- libc-2.27.so
00007ffff7bcb000 2048K ----- libc-2.27.so
00007ffff7dcb000 16K r---- libc-2.27.so
00007ffff7dcf000 8K rw--- libc-2.27.so
00007ffff7dd1000 16K rw--- [ anon ]
00007ffff7dd5000 156K r-x-- ld-2.27.so
00007ffff7fdc000 8K rw--- [ anon ]
00007ffff7ff7000 12K r---- [ anon ]
00007ffff7ffa000 8K r-x-- [ anon ]
00007ffff7ffc000 4K r---- ld-2.27.so
00007ffff7ffd000 4K rw--- ld-2.27.so
00007ffff7ffe000 4K rw--- [ anon ]
00007ffffffde000 132K rw--- [ stack ]
ffffffffff600000 4K r-x-- [ anon ]
total 4384K
因为加载程序从一个非常高的地址开始(实际上是为了避免这个问题(。这是通过与-Wl,-Ttext-segment=00007ff000000000
链接.
(我也尝试先对该地区进行地图绘制。
void *region = mmap(
base_addr,
total_bytes,
phdr->p_flags,
MAP_FIXED | MAP_PRIVATE | MAP_ANONYMOUS,
0, 0
);
您mmap
的第一个段通常涵盖.text
,并且具有R-X
(但没有写入(权限。
如果没有 .p_flags
中的写入权限,尝试写入该内存(自然(会失败。
您可能希望改用phdr->p_flags | PROT_WRITE
。
注意:某些安全策略(如 SELinux(不允许可写映射和可执行映射。在这样的系统上,您需要将内存映射到PROT_WRITE
,根据需要复制数据,然后使用所需的保护进行mprotect
。