Instrukcja przerwania z określonym kodem operacji w gdb

Question

Mam kod zestawu kodu, który zostanie wykonany w punkcie programu. Nie znam adresu kodu w pamięci.

Czy można zrobić przerwę gdb, gdy aktualna instrukcja pasuje do wprowadzonej instrukcji?

Na przykład chcę gdb gdb złamać gdy osiągnie tę instrukcję:

leaq  0x000008eb(%rip),%rax 

Answer 1

Nie, to nie jest możliwe i byłoby bardzo nieefektywne do wdrożenia.

Debugger na ogół obsługują dwa rodzaje przerwań:

• Hardware breakpoints: Debuger pyta CPU podnieść specjalny przerwanie wyjątku, gdy wystąpi jakieś zdarzenie, jak pewnego miejsca w pamięci ulegnie zmianie.
• Software Breakpoints: Debuger zastępuje opcodu na adres Breakpoint ze specjalną instrukcją "trap" (int 3/0xcc na architekturze x86).

Dopasowanie kodu operacji instrukcji bieżącej wymaga albo obsługi procesora, aby wstawić punkt przerwania sprzętowego, albo debugger musi znać adres, aby użyć punktu przerwania oprogramowania.

Teoretycznie debugger mógłby po prostu przeszukać całą pamięć dla sekwencji bajtów instrukcji, ale ponieważ sekwencja bajtów może również wystąpić w środku instrukcji lub danych, może uzyskać fałszywe alarmy.

Ponieważ instrukcje dotyczące montażu mają zmienną długość, kontrola może przejść do dowolnego adresu lub kod sam się modyfikuje, nie jest też trywialne zdemontowanie całego obszaru pamięci w celu znalezienia konkretnej instrukcji.

W zasadzie jedynym sposobem niezawodnego znalezienia instrukcji w dowolnym kodzie montażu byłby pojedynczy krok na poziomie instrukcji. Byłoby to niezwykle kosztowne, nawet banalne wywołanie biblioteki, takie jak printf(), mogłoby zająć kilka minut na dzisiejszym sprzęcie, jeśli wykonasz jedną instrukcję krok po kroku.

Answer 2

I don't know the address of the code in memory.

Co uniemożliwia znalezienie tego adresu? Uruchom objdump -d, znajdź interesujące Cię polecenie, zanotuj jego adres. Problem rozwiązany? (Jest to trywialnie rozszerzone na biblioteki współdzielone).

Answer 3

Jak powiedzieli inni, prawdopodobnie nie da się tego zrobić skutecznie, ponieważ nie ma wsparcia sprzętowego.

Ale jeśli naprawdę chcesz to zrobić, to polecenie Python może służyć jako punkt wyjścia:

class ContinueI(gdb.Command): 
    """ 
Continue until instruction with given opcode. 

    ci OPCODE 

Example: 

    ci callq 
    ci mov 
""" 
    def __init__(self): 
     super().__init__(
      'ci', 
      gdb.COMMAND_BREAKPOINTS, 
      gdb.COMPLETE_NONE, 
      False 
     ) 
    def invoke(self, arg, from_tty): 
     if arg == '': 
      gdb.write('Argument missing.\n') 
     else: 
      thread = gdb.inferiors()[0].threads()[0] 
      while thread.is_valid(): 
       gdb.execute('si', to_string=True) 
       frame = gdb.selected_frame() 
       arch = frame.architecture() 
       pc = gdb.selected_frame().pc() 
       instruction = arch.disassemble(pc)[0]['asm'] 
       if instruction.startswith(arg + ' '): 
        gdb.write(instruction + '\n') 
        break 
ContinueI() 

Tylko źródło go z:

source gdb.py 

i użyj polecenia jak:

breaki mov 
breaki callq 

i zostaniesz na pierwszej instrukcji wykonanej z danym kodem operacji.

TODO: zignoruje to pozostałe punkty przerwania.

Dla konkretnego przypadku wspólnego syscall, można użyć catch syscall: https://reverseengineering.stackexchange.com/questions/6835/setting-a-breakpoint-at-system-call