使用 ptrace 动态获取指令大小（以字节为单位）

Question

我正在使用ptrace 跟踪进程并监控其行为。在某些时候，我想在点击下一条指令之前获得下一个rip 地址。事实上，我想在callq 指令之后调用获取指令的地址。有几种不同的此类指令（近、远、相对、绝对等），它们的长度并不相同。

一旦检索到指令，有没有办法使用ptrace 来获取指令的字节大小。类似于以下内容：

int ip = ptrace(PTRACE_PEEKUSER, t_pid, ipoffs, 0);                    // some addr where ip points
long isntruction = ptrace(PTRACE_PEEKTEXT, t_pid, ip, NULL);           // e8 ae 72 f8 ff (relative call)
printf("Instruction is %d bytes", get_instruction_size(instruction));  // Instrction is 5 bytes

我猜想实现get_instruction_size 的一种方法是获取指令的操作码（前 1 或 2 个字节），然后根据 x86 架构/手册确定它应该多长时间。但我觉得会有很多特殊情况需要考虑，并且需要大量阅读以找到值+这将从一种 CPU 架构变为另一种。另一方面，动态查找大小似乎更方便。我还没有找到答案。

----- 编辑 -------

尝试在调用后立即从 rsp 检索返回值：

#define M_OFFSETOF(STRUCT, ELEMENT) \
        (unsigned long) &((STRUCT *)NULL)->ELEMENT;
...
ipoffs = M_OFFSETOF(struct user, regs.rip);
spoffs = M_OFFSETOF(struct user, regs.rsp);
...
while(1) {
    // exec one instruction
    if(ptrace(PTRACE_SINGLESTEP, t_pid, 0, signo) < 0){
        perror("ptrace single step error\n");
        exit(EXIT_FAILURE);
    }
    ip = ptrace(PTRACE_PEEKUSER, t_pid, ipoffs, 0);
    full_instruction = ptrace(PTRACE_PEEKTEXT, t_pid, ip, NULL);
    opcode = (unsigned)0xFF & full_instruction;
    if(opcode == ADDR32){
        opcode = ((unsigned)0xFF00 & full_instruction) >> 8;
    }
    if(call_found){
        sp = ptrace(PTRACE_PEEKUSER, t_pid, spoffs, 0);
        // print sp ...
        call_found = false;
    }
    if(opcode == CALL)
       call_found = true;
}

Answer 1

ptrace 在内核中没有反汇编程序¹，硬件本身不会告诉你这一点，直到call 指令执行完毕。

如果您可以等到指令执行后，您最好的选择可能是PTRACE_SINGLESTEP 然后读取返回地址call 压入堆栈。 （ESP/RSP 将指向它²）。

---

当然，另一种选择是自己解码（包括任何可能用于填充的前缀，例如 ld 将 6 字节 call [got_entry] 放宽为 1+5 字节 addr32 call rel32 时）。使用反汇编程序库，或者通过扫描前缀直到您到达call 操作码之一，然后您可以从中获得长度（E8 call rel32）或从间接 FF /2 @ 解码 ModRM 字节987654331@。 (https://www.felixcloutier.com/x86/call)。

---

如果您想要移植到非 x86 ISA，许多人使用链接寄存器而不是推送返回地址，因此它并不相同；你不能只是一般地用uintptr_t宽度去引用堆栈指针。

其中许多 ISA 具有固定的指令宽度，因此您可以只向前执行一条指令，而不是单步执行和读取寄存器。 （尽管许多支持 2 或 4 字节指令的紧凑编码，例如 ARM Thumb、MIPS 和 RISC-V）。

在某些 ISA 上还有其他问题，例如 MIPS 有一个分支延迟槽，因此返回地址实际上是在 jal 之后的 next 指令之后。

---

脚注 1：（有趣的事实：ARM Linux 内核曾经有一个支持一些指令的反汇编程序，所以它可以为你模拟单步，但是that hack was removed）。

脚注 2：即使对于带有 far 调用的手写 asm，CS:[ER]IP 返回地址的偏移部分也会位于最低地址，即 ESP/RSP 指向的地址。当然，far 调用使用不同的操作码，因此您可以分别对待它们或忽略它们。

我不确定前缀是否可以覆盖大小以使call 推送不同大小的返回地址。 （例如 32 位模式下的 16 位）。可能不会，即使是这样，它也只是恶意二进制文件故意欺骗你的跟踪器的一个问题。出于任何正常原因，即使是为 GNU/Linux 手写的 asm 也几乎不可能做到这一点。