mach_vm_region_recurse，在osx上映射内存和共享库答案

【问题标题】：mach_vm_region_recurse, mapping memory and shared libraries on osxmach_vm_region_recurse，在osx上映射内存和共享库
【发布时间】：2011-08-05 23:27:33
【问题描述】：

我正在使用 vm_region_recurse_64 来映射给定进程的内存，vmmap 样式。

试图通过检查内存中每个库的 Mach-O 标头来获取应用程序加载的共享库的完整列表，但是，vm_region_recurse 似乎不同意 vmmap 命令行工具关于某些特定内存部分的具体开始位置和结尾。

在 90000000-a0000000 系统子映射中尤其如此，在该子图中加载了大多数 os 共享库。

现在我有点难过。我可以列出内存段，大致说明它们是什么类型，并使用 vm_read 从它们中读取。但事实证明，列出它们并获得正确和特定区域信息是很困难的。

vmmap 如何获取加载库的特定位置的列表？我的方法似乎无效。

编辑：这是我正在使用的基本代码。它返回一个与 vmmap 相似但不相同的内存映射。没有特定库的内存区域。

kern_return_t krc = KERN_SUCCESS;
vm_address_t address = 0;
vm_size_t size = 0;
uint32_t depth = 1;
while (1) {
    struct vm_region_submap_info_64 info;
    mach_msg_type_number_t count = VM_REGION_SUBMAP_INFO_COUNT_64;
    krc = vm_region_recurse_64(port, &address, &size, &depth, (vm_region_info_64_t)&info, &count);
    if (krc == KERN_INVALID_ADDRESS){
        break;
    }
    if (info.is_submap){
        depth++;
    }
    else {
        //do stuff
        printf ("Found region: %08x to %08x\n", (uint32_t)address, (uint32_t)address+size);
        address += size;
    }
}

【问题讨论】：

标签： macos memory ipc mach-o

【解决方案1】：

vmmap 调用 mach_vm_region_recurse() 来列出内存区域。

为了查看 0x90000000..0xa0000000 处的 dyld 共享缓存等子图的内容，您需要查找设置了 is_submap 的区域，然后使用相同的地址和更深的嵌套深度再次调用 mach_vm_region_recurse()。

【讨论】：

在正确的轨道上......但我发现了这一点。好的，该是sn-p的时间了。我将编辑我的原始帖子。
我认为这是正确的。无论出于何种原因，整个 dyld 共享缓存都显示为一个内存对象，而不是单独的区域，但是这种方法让我可以穿透子映射并访问内存对象。我将不得不更多地研究如何读取 dyld 共享缓存中加载了哪些库。
你有没有想过这个问题？我在同一条船上，我得到指向 dyld_shared_cache 的文件名，我想得到真正的 dylib 被请求。

【解决方案2】：

vmmap(1) 实际上通过检查目标地址空间中的 DYLD 表来获取进程中加载的 Mach-O 图像的列表。

【讨论】：