☰

如何在较新的 Linux 系统上获取 linux-gate.dso？

tag-icon • tag-icon linux-kernel dynamic-linking system-calls gdb
如何在较新的 Linux 系统上获取 linux-gate.dso？

我想知道我的 32 位 QEMU 来宾使用哪种方法进行系统调用。有一篇很棒的文章解释了 linux-gate.dso (http://www.trilithium.com/johan/2005/08/linux-gate/）。但是，我似乎无法在我的新系统上使用任何命令。

看来当前的安全功能不允许我转储虚拟 dso：

[root@qemu ~]# dd if=/proc/self/mem of=linux-gate.dso bs=4096 skip=1048574 count=1
dd: ‘/proc/self/mem’: cannot skip to specified offset
dd: error reading ‘/proc/self/mem’: Input/output error
0+0 records in
0+0 records out
0 bytes (0 B) copied, 0.0332587 s, 0.0 kB/s

答案1

为了阅读，现在必须有/proc/[pid]/mem一个过程。PTRACE_ATTACH执行此操作的常用实用程序是gdb

选择一个正在运行的进程（在我的例子中，我只是cat在另一个窗口中打开），然后将 gdb 附加到该进程：

[root@qemu ~]# gdb --pid 423
#MORE OUTPUT
0xb771dbac in __kernel_vsyscall ()

作为加载符号时输出的一部分，gdb 应该输出我上面包含的行。如果没有，您可以在符号表中搜索它：

(gdb) info functions vsyscall
All functions matching regular expression "vsyscall":

Non-debugging symbols:
0xb771db9c  __kernel_vsyscall

现在我们有了 的地址__kernel_vsyscall，我们可以使用 gdb 来检查所使用的系统调用方法：

(gdb) disassemble 0xb771db9c
Dump of assembler code for function __kernel_vsyscall:
   0xb771db9c <+0>:     push   %ecx
   0xb771db9d <+1>:     push   %edx
   0xb771db9e <+2>:     push   %ebp
   0xb771db9f <+3>:     mov    %esp,%ebp
   0xb771dba1 <+5>:     sysenter 
   0xb771dba3 <+7>:     nop
   0xb771dba4 <+8>:     nop
   0xb771dba5 <+9>:     nop
   0xb771dba6 <+10>:    nop
   0xb771dba7 <+11>:    nop
   0xb771dba8 <+12>:    nop
   0xb771dba9 <+13>:    nop
   0xb771dbaa <+14>:    int    $0x80
=> 0xb771dbac <+16>:    pop    %ebp
   0xb771dbad <+17>:    pop    %edx
   0xb771dbae <+18>:    pop    %ecx
   0xb771dbaf <+19>:    ret    
End of assembler dump.

或者我们可以按照最初的要求转储 linux-gate.dso：

(gdb) dump memory ./linux-gate.dso 0xb771d000 0xb771e000

基本上，我们知道 linux-gate.dso 占用一整页。由于这个系统的页面大小为4K=0x1000，所以我只是从地址向下取整__kernel_vsyscall并添加0x1000以获得结尾。在 gdb 之外，我们可以看到该文件被识别为共享库：

[root@qemu ~]# objdump -T ./linux-gate.dso |grep syscall
00000b9c g    DF .text  00000014  LINUX_2.5   __kernel_vsyscall

我们可以再次找到sysenter： [root@arch-qemu ~]# objdump -d --start-address=0x00000b9c --stop-address=0x00000bac linux-gate.dso

linux-gate.dso：文件格式 elf32-i386

.text 节的反汇编：

00000b9c <__kernel_vsyscall>:
 b9c:   51                      push   %ecx
 b9d:   52                      push   %edx
 b9e:   55                      push   %ebp
 b9f:   89 e5                   mov    %esp,%ebp
 ba1:   0f 34                   sysenter 
 ba3:   90                      nop
 ba4:   90                      nop
 ba5:   90                      nop
 ba6:   90                      nop
 ba7:   90                      nop
 ba8:   90                      nop
 ba9:   90                      nop
 baa:   cd 80                   int    $0x80

相关内容