使用ptracelinux，c从入口点跟踪程序

如何解决使用ptracelinux，c从入口点跟踪程序

我想使用ptrace跟踪程序的寄存器和指令。为了更好地理解我的代码，我将其简化为只计算“ / bin / ls”指令的数量。

这是我的代码（忽略不必要的内容）：

#include <stdio.h>
#include <sys/ptrace.h>
#include <sys/types.h>
#include <sys/wait.h>
#include <unistd.h>
#include <sys/user.h>
#include <sys/reg.h>    
#include <sys/syscall.h>

int main()
{   
    pid_t child;
    child = fork(); //create child
    
    if(child == 0) {
        ptrace(PTRACE_TRACEME,NULL,NULL);
        char* child_argv[] = {"/bin/ls",NULL};
        execv("/bin/ls",child_argv);
    }
    else {
        int status;
        long long ins_count = 0;
        while(1)
        {
            //stop tracing if child terminated successfully
            wait(&status);
            if(WIFEXITED(status))
                break;

                ins_count++;
                ptrace(PTRACE_SINGLESTEP,child,NULL);
        }

    printf("\n%lld Instructions executed.\n",ins_count);

    }
    
    return 0;
}

当我运行此代码时，我得到“ 484252指令已执行”，我对此表示怀疑。我在Google上搜索后发现，这些指令中的大多数来自执行实际程序（/ bin / ls）之前的加载库。

我如何跳过单步执行到/ bin / ls的第一条实际指令并从那里开始计数？

解决方法

是的，您的数量包括动态链接程序正在执行的工作（并且AFAIK在二进制文件开始执行之前是一条幻像指令）。

（我正在使用shell命令，但也可以使用elf.h从C代码完成；有关示例，请参见musl dynamic linker）

您可以：

• 解析/bin/ls的ELF标头以找到入口点和包含入口点的程序标头（我在这里使用cat是因为当我在运行时更容易长时间保持运行写下来）

# readelf -l /bin/cat

Elf file type is EXEC (Executable file)
Entry point 0x4025b0
There are 9 program headers,starting at offset 64

Program Headers:
  Type           Offset             VirtAddr           PhysAddr
                 FileSiz            MemSiz              Flags  Align
(...)
  LOAD           0x0000000000000000 0x0000000000400000 0x0000000000400000
                 0x000000000000b36c 0x000000000000b36c  R E    0x200000
(...)

入口点位于VirtAddr和VirtAddr + FileSiz之间，并且标志包含可执行位（E），因此看起来我们处在正确的轨道上。

注意：Elf file type is EXEC（而不是DYN）意味着我们总是将程序头映射到VirtAddr中指定的固定位置；这意味着对于我的cat构建，我们可以只使用上面找到的入口地址。 DYN二进制文件可以并且可以加载到任意地址，因此我们需要执行此重新定位操作。

• 找到二进制文件的实际加载地址

AFAIK程序标头按VirtAddr排序，因此带有LOAD标志的第一段将映射到最低地址。打开/proc/<pid>/maps并查找您的二进制文件：

# grep /bin/cat /proc/7431/maps
00400000-0040c000 r-xp 00000000 08:03 1046541                            /bin/cat
0060b000-0060c000 r--p 0000b000 08:03 1046541                            /bin/cat
0060c000-0060d000 rw-p 0000c000 08:03 1046541                            /bin/cat

第一段映射到0x00400000（ELF类型== EXEC中应有此值）。如果不是，则需要调整入口点地址：

actual_entrypoint_addr = elf_entrypoint_addr - elf_virt_addr_of_first_phdr + actual_addr_of_first_phdr

• 在actual_entrypoint_addr上设置一个断点，然后调用ptrace(PTRACE_CONT)。一旦断点命中（返回waitpid()，请按照您到目前为止的方式进行操作（计算ptrace(PTRACE_SINGLESTEP) s）。

---

我们需要处理重定位的示例：

# readelf -l /usr/sbin/nginx

Elf file type is DYN (Shared object file)
Entry point 0x24e20
There are 9 program headers,starting at offset 64

Program Headers:
  Type           Offset             VirtAddr           PhysAddr
                 FileSiz            MemSiz              Flags  Align
(...)
  LOAD           0x0000000000000000 0x0000000000000000 0x0000000000000000
                 0x000000000010df54 0x000000000010df54  R E    0x200000
(...)

# grep /usr/sbin/nginx /proc/1425/maps
55e299e78000-55e299f86000 r-xp 00000000 08:03 660029                     /usr/sbin/nginx
55e29a186000-55e29a188000 r--p 0010e000 08:03 660029                     /usr/sbin/nginx
55e29a188000-55e29a1a4000 rw-p 00110000 08:03 660029                     /usr/sbin/nginx

入口点位于0x55e299e78000-0 + 0x24e20 == 0x55e299e9ce20