【Android 逆向】Android 进程注入工具开发 ( 注入代码分析 | 远程调用 目标进程中 libc.so 动态库中的 mmap 函数 二 | 准备参数 | 远程调用 mmap 函数 )

文章目录

一、准备 mmap 函数的参数

二、mmap 函数远程调用





一、准备 mmap 函数的参数


上一篇博客 【Android 逆向】Android 进程注入工具开发 ( 注入代码分析 | 远程调用 目标进程中 libc.so 动态库中的 mmap 函数 一 | mmap 函数简介 ) 中介绍了 mmap 函数 ;


mmap 函数的函数原型如下 :


<sys/mman.h>
void* mmap(void* start,size_t length,int prot,int flags,int fd,off_t offset);
int munmap(void* start,size_t length);


mmap 函数参数含义 :


void* start : 如果为 0 就是让系统自动分配 , 如果不为 0 , 则由用户指定分配的地址 ;

size_t length : 申请分配内存的大小 ;

int prot : 内存保护标志 , 如 PROT_READ | PROT_WRITE | PROT_EXEC , 表示 可读 | 可写 | 可执行 ;

int flags : 映射对象类型标志位标志位 , 如 MAP_ANONYMOUS | MAP_PRIVATE , 表示 匿名 | 私有 ;

int fd : 文件描述符 ; 没有设置为 0 ;

off_t offset : 被映射对象的起点偏移量 , 一般设置 0 ;


将 mmap 的参数放到 parameters 数组中 , 之后要将该地址传递给远程进程的 ESP 寄存器 , 用于指定


long parameters[10];
    /* 下面是远程调用 mmap 函数分配栈内存信息 */
    /* call mmap 调用 mmap 函数传入的参数 */
    parameters[0] = 0;  // addr  地址让系统分配 , 也可以指定内存地址
    parameters[1] = 0x4000; // size 分配的内存大小 0x4000 字节 , 也就是 16KB ,  mmap 函数的参数胡
    parameters[2] = PROT_READ | PROT_WRITE | PROT_EXEC;  // prot  可读 | 可写 | 可执行 
    parameters[3] = MAP_ANONYMOUS | MAP_PRIVATE; // flags  匿名 | 私有 
    parameters[4] = 0; //fd  文件描述符 
    parameters[5] = 0; //offset  偏移量






二、mmap 函数远程调用


由于远程调用涉及到寄存器的操作 , 因此 arm 架构 与 x86 架构的 远程调用是不同的 , 本次开发的是 x86 架构下的远程调用 ;



首先 , 将 mmap 函数执行的参数 , 写出到远程进程的内存中 , 调用 ptrace_writedata 方法 , 写出内存数据 ;


/* 设置 ESP 栈指针寄存器 */
  regs->esp -= (num_params) * sizeof(long);
  /* 将 long* params 参数写出到 pid 对应的远程进程中 , 然后将写出后数据的首地址 , 
    设置到 pid_t pid 进程号对应的远程进程的 ESP 寄存器中 , 
    设置的数据长度 4 字节 */
  ptrace_writedata(pid, (uint8_t*)(void*)regs->esp, (uint8_t*)params, (num_params) * sizeof(long));


此外还要在栈中设置一个 0 地址 , 为了保证远程进程执行完毕后 , 自动访问 0 地址 , 导致崩溃 , 这样调试程序就可以收回控制权 ; 参考 【Android 逆向】Android 进程注入工具开发 ( EIP 寄存器指向 dlopen 函数 | ESP 寄存器指向栈内存 | 调试程序收回目标进程控制权 ) 博客 ;


/* 设置一个 0 地址 */
    long tmp_addr = 0x00;
    /* 设置 0 地址的作用是 保证 远程进程 访问该 0 地址 导致崩溃 , 调试工具收回进程控制权 */
    regs->esp -= sizeof(long);
    ptrace_writedata(pid, (uint8_t*)(regs->esp), (uint8_t*)&tmp_addr, sizeof(tmp_addr));


然后 , 设置 远程进程 的 EIP 寄存器 , 指定执行哪个函数 , 这个 函数地址 是在 【Android 逆向】Android 进程注入工具开发 ( 注入代码分析 | 获取 远程 目标进程 中的 /system/lib/libc.so 动态库中的 mmap 函数地址 ) 博客中获取的 mmap 函数地址 ;


/* 设置 EIP 寄存器值 , 存储 CPU 下一条将要执行的指令 */
    regs->eip = addr;
    /* 设置 pid 远程进程的寄存器值 */
    if (ptrace_setregs(pid, regs) == -1
  || ptrace_continue(pid) == -1) {
  printf("error\n");
  return -1;
    }


最后 , 调用 ptrace_continue 方法 , 执行该 mmap 函数 ;


ptrace_continue(pid)



mmap 函数远程调用 完整代码 :


#elif defined(__i386__)  
long ptrace_call(pid_t pid, uint32_t addr, long* params, uint32_t num_params, struct user_regs_struct* regs)
{
    /* 参数说明 :  */
    if (num_params > 0 && (params != NULL)) {
  /* 设置 ESP 栈指针寄存器 */
  regs->esp -= (num_params) * sizeof(long);
  /* 将 long* params 参数写出到 pid 对应的远程进程中 , 然后将写出后数据的首地址 , 
    设置到 pid_t pid 进程号对应的远程进程的 ESP 寄存器中 , 
    设置的数据长度 4 字节 */
  ptrace_writedata(pid, (uint8_t*)(void*)regs->esp, (uint8_t*)params, (num_params) * sizeof(long));
    }
    /* 设置一个 0 地址 */
    long tmp_addr = 0x00;
    /* 设置 0 地址的作用是 保证 远程进程 访问该 0 地址 导致崩溃 , 调试工具收回进程控制权 */
    regs->esp -= sizeof(long);
    ptrace_writedata(pid, (uint8_t*)(regs->esp), (uint8_t*)&tmp_addr, sizeof(tmp_addr));
    /* 设置 EIP 寄存器值 , 存储 CPU 下一条将要执行的指令 */
    regs->eip = addr;
    /* 设置 pid 远程进程的寄存器值 */
    if (ptrace_setregs(pid, regs) == -1
  || ptrace_continue(pid) == -1) {
  printf("error\n");
  return -1;
    }
    /* 等待远程调用执行完毕 */
    int stat = 0;
    waitpid(pid, &stat, WUNTRACED);
    while (stat != 0xb7f) {
  if (ptrace_continue(pid) == -1) {
    printf("error\n");
    return -1;
  }
  waitpid(pid, &stat, WUNTRACED);
    }
    return 0;
}



上一篇:[Plugin] 文件上传利器SWFUpload使用指南


下一篇:模板的各种使用