Ptrace注入

Ptrace函数

long ptrace(enum __ptrace_request request,pid_t pid,void *addr, void *data);

第一个参数决定ptrace的行为
PTRACE_ATTACH:附加到指定远程进程。
PTRACE_DETACH:从自定远程进程分离。
PTRACE_PEEKTEXT:从远程进程指定内存地址来读取一个WORD大小的数据。
PTRACE_POKETEXT:往远程进程指定内存地址写入一个WORD大小的数据。
PTRACE_GETREG:读取远程进程当前的寄存器环境。
PTRACE_SETREG:设置远程进程寄存器环境。

实现思路

  1. 附加到远程进程。
  2. 保存CONTEXT环境。
  3. 调用mmap分配内存,向内存中写入注入SO的路径及调用的函数名称。
  4. 远程调用dlopen加载注入的SO。
  5. 远程调用dlsys获取调用函数地址。
  6. 远程调用需要的函数。
  7. 恢复寄存器环境。
  8. 从进程中分离。

具体细节

  1. 遍历系统所有/proc/PID/cmdline,对比是否是我们注入的APK,获得APK的PID值。
  2. Ptrace附加,waitpid等待子进程暂停。(Ptrace附加后子进程会暂停)
  3. Ptrace获取当前子进程CONTEXT环境。
  4. 获取子进程mmap函数地址。
  5. 父进程远程调用子进程mmap分配内容,获取函数返回值。
  6. Ptrace写入需要的字符串。
  7. 获取子进程dlopen,dlsys,dlclose函数地址。
  8. 父进程远程调用子进程dlopen,dlsys加载并获取SO中函数地址。
  9. 调用注入SO的函数。
  10. 恢复子进程CONTEXT环境。
  11. Ptrace分离

如何获取子进程函数地址?

由于库函数是由加载Android某些链接库实现调用的,那么子进程中函数的偏移与父进程偏移相同,只是模块基址不同,那么:

  1. 读取proc/PID/maps,获取子进程和父进程调用函数所在模块的基地址。
  2. 获取父进程中函数的绝对地址。
  3. 计算出子进程中函数地址。

如何调用函数?

ARM函数调用约定: 函数调用的前4个参数通过R0-R3寄存器传递,剩余的参数按从右到左的顺序压入栈进行传递 返回值保存在R0中

  1. 判断参数个数,小于4个直接赋值R0-R3,大于4个则需要抬高栈(目的是为了不破坏栈中后面的数据,以便最后恢复),向栈中按顺序写入参数。
  2. 设置PC寄存器值为调用函数地址。
  3. 判断调用函数指令为ARM或是Thumb,并置CPST寄存器的标志位(判断跳转的地址位[0]是否为1,见BLX原理)
  4. 设置LR寄存器为0。(目的是为了调用完函数后子进程暂停)
  5. 运行子程序。(ptrace(PTRACE_CONT),当下一次系统调用,子进程退出或子进程的执行发生错误。)
  6. 获取子程序暂停。(waitpid(WUNTRACED) 当子进程暂停后,立即返回)。
comments powered by Disqus