【发布时间】：2016-06-26 07:36:14
【问题描述】：
我的目的是从本机代码调用系统调用或 libc 函数。 本机代码是一个可执行的内存块，我在其中插入了一些机器代码。在本机代码中，我尝试调用 puts() 或 printf() 函数来输出字符串。然后我调用本机代码。这个序列模型是 Mono 试图做的。但是当我将 Mono 移植到 AIX 中时，在调用诸如 printf() 或 abs() 之类的系统库函数时遇到了段错误。我想它必须在某处打破调用堆栈。但我无法解决我不熟悉 IBM powerpc 平台的问题。 我写了一个简单的程序来演示这个序列，它在调用 puts() 时也会导致段错误。太费时间了，请给我一些建议，提前谢谢！
#include <stdio.h>
#include <string.h>
#include <sys/types.h>
#include <sys/mman.h>
typedef uint8_t guint8;
typedef int16_t gint16;
typedef uint16_t guint16;
typedef int32_t gint32;
typedef uint32_t guint32;
typedef int64_t gint64;
typedef uint64_t guint64;
typedef float gfloat;
typedef double gdouble;
typedef int32_t gboolean;
typedef void * gpointer;
typedef enum {
ppc_r0 = 0,
ppc_r1,
ppc_sp = ppc_r1,
ppc_r2,
ppc_r3,
ppc_r4,
ppc_r5,
ppc_r6,
ppc_r7,
ppc_r8,
ppc_r9,
ppc_r10,
ppc_r11,
ppc_r12,
ppc_r13,
ppc_r14,
ppc_r15,
ppc_r16,
ppc_r17,
ppc_r18,
ppc_r19,
ppc_r20,
ppc_r21,
ppc_r22,
ppc_r23,
ppc_r24,
ppc_r25,
ppc_r26,
ppc_r27,
ppc_r28,
ppc_r29,
ppc_r30,
ppc_r31
} PPCIntRegister;
typedef enum {
ppc_lr = 256,
ppc_ctr = 256 + 32,
ppc_xer = 32
} PPCSpecialRegister;
#define G_STMT_START do
#define G_STMT_END while (0)
#define ppc_load32(c,D,v) G_STMT_START { \
ppc_lis ((c), (D), (guint32)(v) >> 16); \
ppc_ori ((c), (D), (D), (guint32)(v) & 0xffff); \
} G_STMT_END
#define ppc_emit32(c,x) do { *((guint32 *) (c)) = (guint32) (x); (c) = (gpointer)((guint8 *)(c) + sizeof ( guint32));} while (0)
#define ppc_stwux(c,S,A,B) ppc_emit32(c, (31 << 26) | (S << 21) | (A << 16) | (B << 11) | (183 << 1) | 0)
#define ppc_or(c,a,s,b) ppc_emit32 (c, (31 << 26) | ((s) << 21) | ((a) << 16) | ((b) << 11) | 888)
#define ppc_mr(c,a,s) ppc_or (c, a, s, s)
#define ppc_ori(c,S,A,ui) ppc_emit32 (c, (24 << 26) | ((S) << 21) | ((A) << 16) | (guint16)(ui))
#define ppc_addis(c,D,A,i) ppc_emit32 (c, (15 << 26) | ((D) << 21) | ((A) << 16) | (guint16)(i))
#define ppc_lis(c,D,v) ppc_addis (c, D, 0, (guint16)(v))
#define ppc_load_sequence(c,D,v) ppc_load32 ((c), (D), (guint32)(v))
#define ppc_load_func(c,D,V) ppc_load_sequence ((c), (D), (V))
#define ppc_mtspr(c,spr,S) ppc_emit32 (c, (31 << 26) | ((S) << 21) | ((spr) << 11) | (467 << 1))
#define ppc_mtlr(c,S) ppc_mtspr (c, ppc_lr, S)
#define ppc_blrl(c) ppc_emit32 (c, 0x4e800021)
#define ppc_mfspr(c,D,spr) ppc_emit32 (c, (31 << 26) | ((D) << 21) | ((spr) << 11) | (339 << 1))
#define ppc_mflr(c,D) ppc_mfspr (c, D, ppc_lr)
#define ppc_stw(c,S,d,A) ppc_emit32 (c, (36 << 26) | ((S) << 21) | ((A) << 16) | (guint16)(d))
#define ppc_stwu(c,s,d,A) ppc_emit32 (c, (37 << 26) | ((s) << 21) | ((A) << 16) | (guint16)(d))
#define ppc_addi(c,D,A,i) ppc_emit32 (c, (14 << 26) | ((D) << 21) | ((A) << 16) | (guint16)(i))
#define ppc_lwz(c,D,d,A) ppc_emit32 (c, (32 << 26) | ((D) << 21) | ((A) << 16) | (guint16)(d))
#define ppc_blr(c) ppc_emit32 (c, 0x4e800020)
#define ppc_bl(c,li) ppc_emit32 (c, (18 << 26) | ((li) << 2) | 1)
#define PPC_CALL_REG ppc_r12
void foo()
{
puts("Hello");
}
int main()
{
unsigned char codebuf [1024];
unsigned char* code;
void * mem;
unsigned char* codest;
void *values[1];
int rc;
foo();
code = codest = codebuf;
ppc_load_func(code, PPC_CALL_REG, *((void **)foo));
ppc_mtlr(code, PPC_CALL_REG);
ppc_blrl(code);
mem = mmap(NULL, code - codest, PROT_WRITE | PROT_EXEC,
MAP_ANONYMOUS | MAP_PRIVATE, -1, 0);
memcpy(mem, codest, code - codest);
void (*func) () = &mem;
func();
return 0;
}
我必须使用 gcc。宏是从 Mono 复制的。 func() 在不调用系统库函数时很好。 它可以进入 func()，但是当调用 puts 时，寄存器 R2 的值以某种方式被操纵。我不知道为什么？以下是我的测试盒上的调试步骤：
127 func();
=> 0x10000760 <main+304>: 80 1f 00 40 lwz r0,64(r31)
0x10000764 <main+308>: 7c 0b 03 78 mr r11,r0
0x10000768 <main+312>: 81 2b 00 00 lwz r9,0(r11)
0x1000076c <main+316>: 90 41 00 14 stw r2,20(r1)
0x10000770 <main+320>: 7c 0a 03 78 mr r10,r0
0x10000774 <main+324>: 81 6a 00 08 lwz r11,8(r10)
0x10000778 <main+328>: 7d 29 03 a6 mtctr r9
0x1000077c <main+332>: 7c 0a 03 78 mr r10,r0
0x10000780 <main+336>: 80 4a 00 04 lwz r2,4(r10)
0x10000784 <main+340>: 4e 80 04 21 bctrl
0x10000788 <main+344>: 80 41 00 14 lwz r2,20(r1)
上面是进入func()的地方。 以下是核心转储快照：
(gdb)
0x10000550 90 puts("Hello");
0x1000054c <foo+20>: 80 62 00 58 lwz r3,88(r2)
=> 0x10000550 <foo+24>: 48 00 03 41 bl 0x10000890 <puts>
0x10000554 <foo+28>: 80 41 00 14 lwz r2,20(r1)
(gdb)
0x10000890 in puts ()
=> 0x10000890 <puts+0>: 81 82 00 5c lwz r12,92(r2)
(gdb)
0x10000894 in puts ()
=> 0x10000894 <puts+4>: 90 41 00 14 stw r2,20(r1)
(gdb) info reg r12
r12 0x0 0
(gdb) ni
0x10000898 in puts ()
=> 0x10000898 <puts+8>: 80 0c 00 00 lwz r0,0(r12)
(gdb)
0x1000089c in puts ()
=> 0x1000089c <puts+12>: 80 4c 00 04 lwz r2,4(r12)
(gdb)
0x100008a0 in puts ()
=> 0x100008a0 <puts+16>: 7c 09 03 a6 mtctr r0
(gdb) info reg r0
r0 0x0 0
(gdb) ni
0x100008a4 in puts ()
=> 0x100008a4 <puts+20>: 4e 80 04 20 bctr
(gdb)
Program received signal SIGILL, Illegal instruction.
0x00000000 in ?? ()
=> 0x00000000: 00 00 00 00 .long 0x0
在puts()中，跳转到了错误的地址0x0，在func()的开头，编译器修改了R2(lwz r2,4(r10))，导致问题，但它是编译器生成的代码，我无法更改它。我不知道如何处理这个问题。请帮我！谢谢。
【问题讨论】：
-
它会是什么类型的恶意软件？
-
它是 JIT 的一部分。 JIT 生成本机代码（shell），然后将另一个本机代码放入其中，然后调用 shell。 Mono 会使用这种模式。
-
@LorinczyZsigmond，我搜索了。它可能与函数描述符有关，但我找不到任何官方手册描述 32 位函数描述符。我注意到函数名指向一个名为函数描述符的表，该表包括入口地址、目录地址和第三个字段（我不知道）。似乎 aix 编译器将 TOC 地址放入 R2 寄存器（根据 AIX ABI），这个 R2 用于查找全局符号。因为动态生成的函数（如我的示例）没有 TOC 信息，所以它破坏了调用环境。我怎么能找到32bit AIX abi 官方手册？谢谢！