GDB — довольно мощный инструмент, но требует некоторого обучения.
По сути, вы хотите установить условную точку останова.
Сначала используйте флаг -i для strace или objdump -d, чтобы найти адрес открытой функции или, что более реалистично, что-то в цепочке ее получения, например, в файле plt.
установите точку останова по этому адресу (если у вас есть символы отладки, вы можете использовать их вместо этого, опуская *, но я предполагаю, что вы этого не сделаете, хотя вы вполне можете использовать их для библиотечных функций, если ничего другого.
break * 0x080482c8
Далее вам нужно сделать его условным
(В идеале вы могли бы сравнить строковый аргумент с желаемой строкой. Я не заставлял это работать в течение первых нескольких минут попытки)
Будем надеяться, что мы можем предположить, что строка является константой где-то в программе или в одной из загружаемых ею библиотек. Вы можете заглянуть в /proc/pid/maps, чтобы получить представление о том, что и где загружено, затем использовать grep, чтобы убедиться, что строка действительно находится в файле, objdump -s, чтобы найти ее адрес, и gdb, чтобы убедиться, что вы загрузили на самом деле нашел его в памяти, объединив старшую часть адреса из карт с младшей частью из файла. (EDIT: вероятно, проще использовать ldd для исполняемого файла, чем искать в /proc/pid/maps)
Далее вам нужно будет кое-что узнать об аби платформы, над которой вы работаете, в частности о том, как передаются аргументы. В последнее время я работаю над arm, и это очень приятно, так как первые несколько аргументов просто помещаются в регистры r0, r1, r2... и т. д. x86 немного менее удобен - похоже, они помещаются в стек, т.е. * ($esp+4), *($esp+8), *($esp+12).
Итак, давайте предположим, что мы на x86, и мы хотим проверить, что первый аргумент в esp+4 равен адресу, который мы нашли для константы, которую мы пытаемся перехватить. Только esp+4 — это указатель на указатель char. Поэтому нам нужно разыменовать его для сравнения.
cond 1 *(char **)($esp+4)==0x8048514
Затем вы можете ввести run и надеяться на лучшее.
Если вы уловили условие точки останова и просмотр информационных регистров и команда x для проверки памяти кажутся правильными, то вы можете использовать команду return для просеивания обратно вверх по стеку вызовов, пока не найдете что-то знакомое.
person
Chris Stratton
schedule
03.05.2011
