Android中指令注入,Android注入之Ptrace注入

###Ptrace函数

long ptrace(enum __ptrace_request request,pid_t pid,void *addr, void *data);

第一个参数决定ptrace的行为

PTRACE_ATTACH：附加到指定远程进程。 PTRACE_DETACH：从自定远程进程分离。 PTRACE_PEEKTEXT：从远程进程指定内存地址来读取一个WORD大小的数据。 PTRACE_POKETEXT：往远程进程指定内存地址写入一个WORD大小的数据。 PTRACE_GETREG：读取远程进程当前的寄存器环境。 PTRACE_SETREG：设置远程进程寄存器环境。

###实现思路

附加到远程进程。

保存CONTEXT环境。

调用mmap分配内存，向内存中写入注入SO的路径及调用的函数名称。

远程调用dlopen加载注入的SO。

远程调用dlsys获取调用函数地址。

远程调用需要的函数。

恢复寄存器环境。

从进程中分离。 ###具体细节

遍历系统所有/proc/PID/cmdline，对比是否是我们注入的APK，获得APK的PID值。

Ptrace附加，waitpid等待子进程暂停。(Ptrace附加后子进程会暂停)

Ptrace获取当前子进程CONTEXT环境。

获取子进程mmap函数地址。

父进程远程调用子进程mmap分配内容，获取函数返回值。

Ptrace写入需要的字符串。

获取子进程dlopen，dlsys，dlclose函数地址。

父进程远程调用子进程dlopen，dlsys加载并获取SO中函数地址。

调用注入SO的函数。

恢复子进程CONTEXT环境。

Ptrace分离

如何获取子进程函数地址？

由于库函数是由加载Android某些链接库实现调用的，那么子进程中函数的偏移与父进程偏移相同，只是模块基址不同，那么：

读取proc/PID/maps，获取子进程和父进程调用函数所在模块的基地址。

获取父进程中函数的绝对地址。

计算出子进程中函数地址。

如何调用函数？

ARM函数调用约定： 函数调用的前4个参数通过R0-R3寄存器传递，剩余的参数按从右到左的顺序压入栈进行传递 返回值保存在R0中

判断参数个数，小于4个直接赋值R0-R3，大于4个则需要抬高栈(目的是为了不破坏栈中后面的数据，以便最后恢复)，向栈中按顺序写入参数。

设置PC寄存器值为调用函数地址。

判断调用函数指令为ARM或是Thumb，并置CPST寄存器的标志位(判断跳转的地址位[0]是否为1，见BLX原理)

设置LR寄存器为0。(目的是为了调用完函数后子进程暂停)

运行子程序。(ptrace(PTRACE_CONT)，当下一次系统调用，子进程退出或子进程的执行发生错误。)

获取子程序暂停。(waitpid(WUNTRACED) 当子进程暂停后，立即返回)。