GDBを使用してLinuxプロセスにその場でパッチを適用する

Linuxでの関数フックの手法はよく知られており、インターネットで説明されています。 最も簡単な方法は、「クローン関数」を使用して動的ライブラリを作成し、LD_PRELOADメカニズムを使用して、プロセスのロード段階でインポートテーブルをオーバーライドすることです。



LD_PRELOADの欠点は、プロセスの開始を制御する必要があることです。 すでに実行中のプロセスの関数またはインポートテーブルにない関数をインターセプトするには、「スプライシング」を使用します。インターセプトされた関数の先頭でインターセプターに移動するコマンドを記録します。



Pythonには、C言語のデータや関数（つまり、Cインターフェースを備えた多数の動的ライブラリ）とやり取りできるctypes



モジュールがctypes



ことも知られています。 したがって、プロセスの機能をインターセプトし、 ctypes



を使用してCコールバックでラップされたPythonメソッドに送信することを妨げるものはありません。



制御をインターセプトし、ターゲットプロセスにコードをロードするには、Python（ https://sourceware.org/gdb/current/onlinedocs/gdb/Python-API.html ）で拡張モジュールの作成をサポートするGDBデバッガーを使用すると便利です。



傍受は3つの段階に分けることができます。

1. Pythonインタープリターをターゲットプロセスのアドレス空間に挿入する
2. キャプチャされた機能に関する情報のキャプチャ
3. 実際に傍受

節1と2はデバッガー側で簡単に実行でき、節3はすでにターゲットプロセス内にあります。

Pythonインタープリターインジェクション

Python GDBインターフェースのほとんどは、デバッグ機能を拡張するように設計されています。 他のすべてについては、 gdb.execute(command, from_tty, to_string)



があります。これにより、任意のGDBコマンドを実行し、その出力を文字列として取得できます。

例：

 out = gdb.execute("info registers", False, True)
      
      

        
        
        
      

    
        
        
        
      
      

        
        
        
      

    
     

また、式を評価し、結果をgdb.Value



として返すgdb.parse_end_eval(expression)



もgdb.Value



ます。



最初のステップは、Pythonライブラリをターゲットプロセスのアドレス空間にロードすることです。 これを行うには、ターゲットプロセスのコンテキストでdlopen



を呼び出します。

gdb.execute



またはgdb.parse_and_eval



でcall



コマンドを使用できます。

 # pyinject.py gdb.execute('call dlopen("libpython2.7.so", %d)' % RTLD_LAZY) assert long(gdb.history(0)) handle = gdb.parse_and_eval('dlopen("libpython2.7.so", %d)' % RTLD_LAZY) assert long(handle)
      
      

        
        
        
      

    
        
        
        
      
      

        
        
        
      

    
     

その後、インタープリターを初期化できます

 # pyinject.py gdb.execute('call PyEval_InitThreads()') gdb.execute('call Py_Initialize()')
      
      

        
        
        
      

    
        
        
        
      
      

        
        
        
      

    
     

最初の呼び出しはGIL（グローバルインタープリターロック）を作成し、2番目の呼び出しはPython C-APIを使用するために準備します。



そしてインターセプション関数でモジュールをロードします

 # pyinject.py fp = gdb.parse_and_eval('fopen("hook.py", "r")') assert long(fp) != 0 pyret = gdb.parse_and_eval('PyRun_AnyFileEx(%u, "hook.py", 1)' % fp)
      
      

        
        
        
      

    
        
        
        
      
      

        
        
        
      

    
     

PyRun_AnyFileEx



は、 PyRun_AnyFileEx



モジュールのコンテキストでファイルからコードを実行します。

Hook.pyモジュール

hook.pyモジュールには、フック関数と、フック自体を実行するフッククラスが含まれています。

インターセプター関数は、デコレーターを使用して指定されます。 たとえば、標準ライブラリのopen



関数の場合、引数を出力し、 orig



フィールドに格納されている元の関数を呼び出した結果を返します

 # hook.py @hook(symbol='open', ctype=CFUNCTYPE(c_int, c_char_p, c_int)) def python_open(fname, oflag): print "open: ", fname, oflag return python_open.orig(fname, oflag)
      
      

        
        
        
      

    
        
        
        
      
      

        
        
        
      

    
     

@hook



デコレーターは2つのパラメーターを受け入れます。

• symbol-インターセプトされるシンボルの名前（インポートテーブルまたはデバッグ情報からGDBでシンボルが利用可能であると想定されますが、シンボルではなくアドレスによる関数のインターセプトを妨げるものはありません）
• ctype-関数のタイプを指定するctypes
  
  
  
  クラス

デコレータはHookクラスに関数を登録し、変更せずに戻ります。

 # hook.py def hook(symbol, ctype): def deco(func): Hook.register(symbol, ctype, func) return func return deco
      
      

        
        
        
      

    
        
        
        
      
      

        
        
        
      

    
     

register



メソッドは、クラスのインスタンスを作成し、 all_hooks



辞書に格納します。 したがって、ファイルの実行後、 Hook.all_hooks



のデコレーターのおかげで、インターセプターの利用可能な機能に関するすべての情報が得られます。

 # hook.py class Hook(object): all_hooks = {} @staticmethod def register(symbol, *args): Hook.all_hooks[symbol] = Hook(symbol, *args)
      
      

        
        
        
      

    
        
        
        
      
      

        
        
        
      

    
     

1つの関数を呼び出してGDBからインターセプトするには、インターセプトを担当するHook



クラスで静的メソッドを定義すると便利です

 # hook.py class Hook(object): @staticmethod def hook(symbol, *args): h = Hook.all_hooks[symbol] if h.active: return h.install(*args)
      
      

        
        
        
      

    
        
        
        
      
      

        
        
        
      

    
     

*args



は、フックされた関数に関する追加情報をここに提供します。 どれが傍受の方法に依存します。

スプライシングの傍受方法

スプライシングは、元の関数の呼び出し方法に応じて、2つの亜種にグローバルに分割されます。



単純なフックでは、元の関数の呼び出しはいくつかのステップで構成されます。

1. 元の関数の先頭が保存されたコピーから復元されます
2. 電話をかける
3. 始まりは、インターセプターへの遷移命令によって再び上書きされます

トランポリンフックでは、元の関数の先頭が新しい場所にコピーされ、その後、元の関数の本体への遷移が記録されます。 このオプションでは、元の機能は常に新しいアドレスで使用できます。



トランポリンフックはマルチスレッドプログラムで動作しますが、インストールははるかに困難です。 整数個の命令を書き換える必要がありますが、一般的には逆アセンブラが使用されます。 x86_64アーキテクチャの出現により、 %rip



レジスタ（現在のコマンドアドレス）に対するメモリアドレス指定の偏在性により、さらに多くの問題が追加されました。



原則として、GDBのすべての機能（ gdb.execute()



）の背後にあるため、トランポリンフックを正しく実装することを妨げるものはありませんが、簡単にするために、この記事では単純なフックを使用します。



単純なフックでは、唯一の制限はジャンプ命令の長さです。

2つのオプションがあります（メイン）：

• E9オペコード（5バイト）は、追加の割り当てメモリ（トランポリンフックなど）への相対的な32ビット遷移であり、そこからインターセプターへの本格的な64ビット遷移です。
  
  

   0x7f6cc8aa83e0 <open64+0>: e9 1b 6c 55 37 jmp 0x7f6cfffff000
        
        
  
          
          
          
        
  
      
          
          
          
        
        
  
          
          
          
        
  
      
       

  0x7f6cc8aa83e0 + 0x37556c1b + 5 = 0x7f6cfffff000
  
  
  
  への移行
• FF 25オペコード（6バイト）は、％ripに対するメモリ内のアドレスへの絶対64ビットジャンプです。 アドレスについては、関数の開始から2 GB以内の追加メモリを割り当てる必要があります。
  
  

   0x00007f6cc8aa83e0 <open64+0>: ff 25 1a 6c 55 37 jmpq *0x37556c1a(%rip)
        
        
  
          
          
          
        
  
      
          
          
          
        
        
  
          
          
          
        
  
      
       

  ここでは、 0x7f6cc8aa83e0 + 0x37556c1a + 6 = 0x7f6cfffff000
  
  
  
  に絶対遷移のアドレスが格納されます。

この記事では2番目の方法を使用します

 # hook.py class Hook(object): @staticmethod def get_indlongjmp(srcaddr, proxyaddr): s = struct.pack('=BBl', 0xff, 0x25, proxyaddr - srcaddr - 6) return map(ord, s)
      
      

        
        
        
      

    
        
        
        
      
      

        
        
        
      

    
     

get_indlongjmp



は、 srcaddr



アドレスからproxyaddr



QWORDに格納されているアドレスにジャンプするためのコードを返します



これで、 Hook



クラスの欠落しているメソッドを最終的に記述できます。 install



メソッドは、元の関数address



とproxyaddr



補助ゾーンのアドレスを取得します。 その後、インターセプターに切り替えて、関数の先頭を書き換えます（以前はself.code



保存していself.code



）

 # hook.py def install(self, address, proxyaddr): self.address = address self.proxyaddr = proxyaddr proxymemory = (c_void_p * 1).from_address(self.proxyaddr) proxymemory[0] = Hook.cast_to_void_p(self.cfunc) self.jmp = self.get_indlongjmp(self.address, self.proxyaddr) self.memory = (c_ubyte * len(self.jmp)).from_address(self.address) self.code = list(self.memory) self.patchmem(self.jmp) self.pyfunc.orig = self.origfunc() self.active = True
      
      

        
        
        
      

    
        
        
        
      
      

        
        
        
      

    
     

patchmem



は、 src



データで元の関数の先頭を上書きします

 # hook.py def patchmem(self, src): for i in range(len(src)): self.memory[i] = src[i]
      
      

        
        
        
      

    
        
        
        
      
      

        
        
        
      

    
     

origfunc



は、インターセプターへの遷移を削除および設定するコードで関数呼び出しをラップします。

 # hook.py def origfunc(self): ofunc = self.ctype(self.address) def wrap(*args): self.patchmem(self.code) val = ofunc(*args) self.patchmem(self.jmp) return val return wrap
      
      

        
        
        
      

    
        
        
        
      
      

        
        
        
      

    
     

最後の仕上げ

Pythonはアドレス空間にロードされ、hook.pyファイルはPythonにロードされます。 GDBモジュールのPython側からHook.hook(symbol, address, proxyaddr)



を呼び出すことは残ります。



「 open



」機能のアドレスを見つける

 line = gdb.execute('info address %s' % "open" False, True) m = re.match(r'.*?(0x[0-9a-f]+)', line) addr = int(m.group(1), 16)
      
      

        
        
        
      

    
        
        
        
      
      

        
        
        
      

    
     

addr



近くにメモリを割り当てます

 prot = PROT_READ | PROT_WRITE | PROT_EXEC flags = MAP_PRIVATE | MAP_ANONYMOUS maddr = gdb.parse_and_eval('(void*)mmap(0x%x, %d, %d, %d, -1, 0)\n' % (addr | 0x7FFFFFFF, 4096, prot, flags)) maddr = (long(maddr) & 0x00000000FFFFFFFF) | (addr & 0xFFFFFFFF00000000)
      
      

        
        
        
      

    
        
        
        
      
      

        
        
        
      

    
     

元の関数の書き換えを許可（別名SIGSEGV）

 gdb.parse_and_eval('mprotect(0x%x, %u, %d)' % (addr & -0x1000, 4096*2, prot))
      
      

        
        
        
      

    
        
        
        
      
      

        
        
        
      

    
     

PyRun_SimpleString



を介してHook.hook



を呼び出しPyRun_SimpleString

 pyret = gdb.parse_and_eval('PyRun_SimpleString("Hook.hook(\\"open\\", 0x%x, 0x%x)")' % (addr, maddr))
      
      

        
        
        
      

    
        
        
        
      
      

        
        
        
      

    
     

できた！ これで、ターゲットプロセスでの「 open



」の呼び出しがインターセプトされ、 python_open



からpython_openにルーティングされます。

サンプルファイル

完全なサンプルファイル（もう少し確認しますが、多くのニュアンスを考慮しません）

例を実行する（絶対パスで改善する）

 gdb -ex 'attach PID' -ex 'source /path/pyinject.py' -ex 'set hookfile /path/hook.py' (gdb) pyinject hook open (gdb) continue