Android ptrace注入基础

最新推荐文章于 2024-03-05 20:58:39 发布
最新推荐文章于 2024-03-05 20:58:39 发布
阅读量1.1k 收藏 12
点赞数 1
文章标签： 安卓 字符串 android
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/weixin_43632667/article/details/106738951
版权

一、Android ptrace注入基础

1.可执行文件建立

首先建立一个ELF可执行文件target,使用ndk-build进行编译

需要先在任意地方建立一个jni，然后在jni目录下建立Android.mk,Application.mk,target.c

Android.mk:

LOCAL_PATH := $(call my-dir)

include $(CLEAR_VARS)
LOCAL_MODULE    := target
LOCAL_SRC_FILES := target.c

include $(BUILD_EXECUTABLE)

Application.mk(ABI可以添加其他类型如x86)

APP_ABI := armeabi-v7a

target.c:

#include <stdio.h>
int count = 0;

void sevenWeapons(int number)
{
    char* str = "Hello,lzh!";
    printf("%s %d\n",str,number);
}

int main()
{
    while(1)
    {
        sevenWeapons(count);
        count++;
        sleep(1);
    }    
    return 0;
}

编写完成后，使用命令行进入jni目录，执行ndk-build
然后在jni的上一个目录就能看到一个libs目录，进入找到target，将其push到安卓中，赋予其权限，然后执行，就能看到如下情况

Hello,lzh! 0
Hello,lzh! 1
...

2. ptrace注入实现（一）

首先还是建立相关文件jni目录
Android.mk

LOCAL_PATH := $(call my-dir)

include $(CLEAR_VARS)
LOCAL_MODULE    := hook1
LOCAL_SRC_FILES := hook1.c

include $(BUILD_EXECUTABLE)

Application.mk

APP_ABI := armeabi-v7a

hook1.c

long getSysCallNo(int pid, struct pt_regs *regs)
{
    long scno = 0;
    scno = ptrace(PTRACE_PEEKTEXT, pid, (void *)(regs->ARM_pc - 4), NULL);
    if(scno == 0)
        return 0;

    if (scno == 0xef000000) {
        scno = regs->ARM_r7;
    } else {
        if ((scno & 0x0ff00000) != 0x0f900000) {
            return -1;
        }
        scno &= 0x000fffff;
    }
    return scno;    
}
void hookSysCallBefore(pid_t pid)
{
    struct pt_regs regs;
    int sysCallNo = 0;

    ptrace(PTRACE_GETREGS, pid, NULL, &regs);    
    sysCallNo = getSysCallNo(pid, &regs);
    printf("Before SysCallNo = %d\n",sysCallNo);

    if(sysCallNo == __NR_write)
    {
        printf("__NR_write: %ld %p %ld\n",regs.ARM_r0,(void*)regs.ARM_r1,regs.ARM_r2);
    }
}
void hookSysCallAfter(pid_t pid)
{
    struct pt_regs regs;
    int sysCallNo = 0;

    ptrace(PTRACE_GETREGS, pid, NULL, &regs);  
    sysCallNo = getSysCallNo(pid, &regs);

    printf("After SysCallNo = %d\n",sysCallNo);

    if(sysCallNo == __NR_write)
    {
        printf("__NR_write return: %ld\n",regs.ARM_r0);
    }

    printf("\n");
}
int main(int argc, char *argv[])
{
    if(argc != 2) {
        printf("Usage: %s <pid to be traced>\n", argv[0]);
        return 1;
    }

    pid_t pid;
    int status;
    pid = atoi(argv[1]);

    if(0 != ptrace(PTRACE_ATTACH, pid, NULL, NULL))
    {
        printf("Trace process failed:%d.\n", errno);
        return 1;
    }

    ptrace(PTRACE_SYSCALL, pid, NULL, NULL);

    while(1)
    {
        wait(&status);
        hookSysCallBefore(pid);
        ptrace(PTRACE_SYSCALL, pid, NULL, NULL);

        wait(&status);
        hookSysCallAfter(pid);
        ptrace(PTRACE_SYSCALL, pid, NULL, NULL);
    }

    ptrace(PTRACE_DETACH, pid, NULL, NULL);
    return 0;
}
hook1.c代码分析

getSysCallNo:

作用：获取system call编号

//获取system call编号
long getSysCallNo(int pid, struct pt_regs *regs)
{
    long scno = 0;
    //获取系统调用的SWI指令，这里一共有两个指令EABI，OABI，分别对应两个机器码
    scno = ptrace(PTRACE_PEEKTEXT, pid, (void *)(regs->ARM_pc - 4), NULL);
    if(scno == 0)
        return 0;
    //为EABI的时候，从r7中直接获取调用号
    if (scno == 0xef000000) {
        scno = regs->ARM_r7;
    } else {
        //为OABI的时候通过公式立即数(scno)=调用号 | 0x900000，先获取立即数，在计算出调用号
        if ((scno & 0x0ff00000) != 0x0f900000) {
            return -1;
        }
        scno &= 0x000fffff;
    }
    return scno;    
}

获取到system call的编号之后，我们可以进而获取到各个参数的值，我们可以看到第一个SysCallNo是162，也就是sleep函数。第二个SysCallNo是4，也就是write函数，因为printf本质就是调用write这个系统调用来完成的。

//hook system call前
void hookSysCallBefore(pid_t pid)
{
    struct pt_regs regs;
    int sysCallNo = 0;

    ptrace(PTRACE_GETREGS, pid, NULL, &regs);    
    sysCallNo = getSysCallNo(pid, &regs);
    printf("Before SysCallNo = %d\n",sysCallNo);

    if(sysCallNo == __NR_write)
    {
        printf("__NR_write: %ld %p %ld\n",regs.ARM_r0,(void*)regs.ARM_r1,regs.ARM_r2);
    }
}
//hook system call后
void hookSysCallAfter(pid_t pid)
{
    struct pt_regs regs;
    int sysCallNo = 0;

    ptrace(PTRACE_GETREGS, pid, NULL, &regs);  
    sysCallNo = getSysCallNo(pid, &regs);

    printf("After SysCallNo = %d\n",sysCallNo);

    if(sysCallNo == __NR_write)
    {
        printf("__NR_write return: %ld\n",regs.ARM_r0);
    }

    printf("\n");
}

编写完成后，还是执行ndk-build，得到文件push进安卓手机

然后执行重新执行target文件，再使用下面命令获取target的pid

adb shell "ps |grep "target""

在这里插入图片描述
获取到pid后，在执行hook1

./hook1 19140
hook2.c代码分析

还是hook之前的代码,代码如下，想了解原理就直接看注释吧
Applicaton.mk

#APP_OPTIM := release
APP_PLATFORM := android-15
APP_ABI := armeabi-v7a
NDK_TOOLCHAIN_VERSION=4.9
APP_PIE := false

Android.mk:

LOCAL_PATH := $(call my-dir)
APP_CFLAGS := -std=c++11
include $(CLEAR_VARS)
LOCAL_MODULE    := hook2
LOCAL_SRC_FILES := hook2.c

include $(BUILD_EXECUTABLE)

hook2.c

//获取system call编号
long getSysCallNo(int pid, struct pt_regs *regs)
{
    long scno = 0;
    scno = ptrace(PTRACE_PEEKTEXT, pid, (void *)(regs->ARM_pc - 4), NULL);
    if(scno == 0)
        return 0;

    if (scno == 0xef000000) {
        scno = regs->ARM_r7;
    } else {
        if ((scno & 0x0ff00000) != 0x0f900000) {
            return -1;
        }
        scno &= 0x000fffff;
    }
    return scno;    
}
void getdata(pid_t child, long addr,
             char *str, int len)
{   char *laddr;
    int i, j;
    union u {
            long val;//字符地址
            char chars[long_size];//字符
    }data;
    i = 0;
    j = len / long_size;//在arm32下long类型长度为4
    laddr = str;
	//先处理能除的部分
    while(i < j) {
        data.val = ptrace(PTRACE_PEEKDATA,
                          child, addr + i * 4,
                          NULL);//注入
        memcpy(laddr, data.chars, long_size);//将data.chars复制到laddr处
        ++i;
        laddr += long_size;//增加一个long的长度
    }//类似于链表
    j = len % long_size;
	//在处理剩下的
    if(j != 0) {
        data.val = ptrace(PTRACE_PEEKDATA,
                          child, addr + i * 4,
                          NULL);
        memcpy(laddr, data.chars, j);
    }
    str[len] = '\0';
}
//原理和get差不多，使用ptrace注入的方式打印
void putdata(pid_t child, long addr,
             char *str, int len)
{   char *laddr;
    int i, j;
    union u {
            long val;
            char chars[long_size];
    }data;
    i = 0;
    j = len / long_size;
    laddr = str;
    while(i < j) {
        memcpy(data.chars, laddr, long_size);
        ptrace(PTRACE_POKEDATA, child,
               addr + i * 4, data.val);
        ++i;
        laddr += long_size;
    }
    j = len % long_size;
    if(j != 0) {
        memcpy(data.chars, laddr, j);
        ptrace(PTRACE_POKEDATA, child,
               addr + i * 4, data.val);
    }
}
void modifyString(pid_t pid, long addr, long strlen)
{	//注意这里的strlen是地址的长度！
    char* str;
    str = (char *)calloc((strlen+1) * sizeof(char), 1);
    getdata(pid, addr, str, strlen);
    //reverse(str);
	str[0]='l';//将字符串的第一个字符改成'l'
	printf("Hook -------\n");
	printf("%s\n",str);
    putdata(pid, addr, str, strlen);
}
void hookSysCallBefore(pid_t pid)
{
    struct pt_regs regs;
    int sysCallNo = 0;

    ptrace(PTRACE_GETREGS, pid, NULL, &regs);    
    sysCallNo = getSysCallNo(pid, &regs);
    //printf("Before SysCallNo = %d\n",sysCallNo);

    if(sysCallNo == __NR_write)
    {
        printf("__NR_write: %ld %p %ld\n",regs.ARM_r0,(void*)regs.ARM_r1,regs.ARM_r2);
		modifyString(pid, regs.ARM_r1, regs.ARM_r2);
    }
}
void hookSysCallAfter(pid_t pid)
{
    struct pt_regs regs;
    int sysCallNo = 0;

    ptrace(PTRACE_GETREGS, pid, NULL, &regs);  
    sysCallNo = getSysCallNo(pid, &regs);

    printf("After SysCallNo = %d\n",sysCallNo);

    if(sysCallNo == __NR_write)
    {
        printf("__NR_write return: %ld\n",regs.ARM_r0);
    }

    printf("\n");
}
int main(int argc, char *argv[])
{
    if(argc != 2) {
        printf("Usage: %s <pid to be traced>\n", argv[0]);
        return 1;
    }

    pid_t pid;
    int status,errno;
    pid = atoi(argv[1]);

    if(0 != ptrace(PTRACE_ATTACH, pid, NULL, NULL))
    {
        printf("Trace process failed:%d.\n", errno);
        return 1;
    }

    ptrace(PTRACE_SYSCALL, pid, NULL, NULL);

    while(1)
    {
        wait(&status);
        hookSysCallBefore(pid);
        ptrace(PTRACE_SYSCALL, pid, NULL, NULL);

        //wait(&status);
        //hookSysCallAfter(pid);
        //ptrace(PTRACE_SYSCALL, pid, NULL, NULL);
    }

    ptrace(PTRACE_DETACH, pid, NULL, NULL);
    return 0;
}

然后运行，效果如下：

在这里插入图片描述

real_cnzzh
关注
  • 1
    点赞
  • 踩
  • 12
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
ptrace注入实例
01-01
ptrace注入实例代码，
android inject（一）ptrace基础
qq_17748035的专栏
11-22 1288
理论不说了，以下提供三个demo，几乎逐行注释，看懂了应该就懂了。 一.完成了两件事儿： 1.儿子告诉爸爸，儿子到信息可以被查看/修改 PTRACE_TRACEME 2.爸爸查看儿子的信息 PTRACE_PEEKUSER #include &lt;stdio.h&gt; #include &lt;unistd.h&gt; #include &lt;sys/ptrace.h&gt; #in......
Android Ptrace Inject
weixin_30715523的博客
01-09 246
之前介绍了Android平台上3种常见的hook方法，而hook的前提是进程注入，通过进程注入我们可以将模块或代码注入到目标进程中以便对其空间内的数据进行操作，本篇文章介绍基于ptrace函数的注入技术。 对ptrace函数不熟悉的朋友可以参考我之前写的linux ptrace I和linux ptrace II，跟hook相比，在熟悉了ptrace函数的使用方式后注入过程并不复杂，但在细节的处...
Android平台的 Ptrace, 注入, Hook 全攻略
beyond702的专栏
05-11 3606
原帖：http://www.aiuxian.com/article/p-1295924.html Android平台上的Ptrace已经流行很久了，我记得最早的时候是LBE开始使用Ptrace在Android上做拦截，大概三年前我原来的同事yuki (看雪上的古河) 写了一个利用Ptrace注入的例子，被广泛使用，听说他还因此当上了版主，呵呵： Android平台上的注入代码 两年前
Android进程注入
kernweak的博客
06-27 2817
Android平台的进程注入和linux平台的注入技术类似，采用ptrace机制来实现 ptrace 在执行系统调用之前，内核会先检查当前进程是否处于被“跟踪”(traced)的状态。如果是的话，内核暂停当前进程并将控制权交给跟踪进程，使跟踪进程得以察看或者修改被跟踪进程的寄存器。 ptrace()是一个系统调用,它允许一个进程控制另外一个进程的执行.不仅如此,我们还可以借助于ptrace修改某...
使用ptrace向已运行进程中注入.so并执行相关函数
热门推荐
MyArrow的专栏
07-30 1万+
1. 简介     使用ptrace向已运行进程中注入.so并执行相关函数，其中的“注入”二字的真正含义为：此.so被link到已运行进程（以下简称为：目标进程）空间中，从而.so中的函数在目标进程空间中有对应的地址，然后通过此地址便可在目标进程中进行调用。      到底是如何注入的呢？      本文实现方案为：在目标进程中，通过dlopen把需要注入的.so加载到目标进程的空间中。
利用ptrace进行注入
yldfree的博客
11-07 1453
转载：https://bbs.pediy.com/thread-246948.htm 插入的代码 #include <stdio.h> #include <unistd.h> int main() { __asm__( "jmp forward\n\t" "backword:popq %rsi\n\t" ...
Android Ptrace 注入
七月冷雨
04-04 1万+
由于安卓采用的是修改后的linux内核，所以linux上的很多注入技术都可以用于安卓。ptrace远程注入技术便是一种。现在我们将实现对一款游戏进行注入。该例子是腾讯游戏安全实验室提供的，再此表示感谢！如有侵权的话,希望联系我。 一、Ptrace函数介绍 Ptrace注入技术主要使用的是linux系统下的ptrace函数。关于如何深入学习Ptrace函数。大家可以参看我前面写的几篇文章：
ptrace注入游戏介绍
douluo998的博客
04-02 758
ptrace注入技术的核心就是ptrace函数，在ptrace注入过程中，将多次调用ptrace函数。Linux的man文档(超链接至: http://man7.org/linux/man-pages/man2/ptrace.2.html)中提到，ptrace函数为一个进程提供了监视和控制其他进程的方法，在注入进程后，父进程还可以读取和修改子进程的内存空间以及寄存器值。
AndroidPtraceInject: 动态注入ptrace，实现进程间通信
最新发布
gitblog_00009的博客
03-05 375
AndroidPtraceInject: 动态注入ptrace，实现进程间通信 项目简介 AndroidPtraceInject是一个开源的Android动态调试工具，通过利用ptrace系统调用实现进程间的通信、数据传递等功能。 该项目的目标是为移动应用的安全研究人员和开发人员提供一种方便且强大的调试手段，以更深入地了解程序行为并进行安全测试或逆向工程。 主要功能 动态注入代码：在运行时将自定...
ptrace-for-android
06-12
==================== PTrace for Android 介绍 Ptrace 系统调用提供了一个框架，进程（跟踪器）可以通过该框架查看任何其他被跟踪进程将使用的系统调用并修改跟踪进程的属性。 通过使用 ptrace 调用附加到另一个进程，工具可以对其目标的操作进行广泛的控制。 这包括对其文件描述符、内存和寄存器的操作。 它可以单步执行目标的代码，可以观察和拦截系统调用及其结果，并且可以操纵目标的信号处理程序并代表它接收和发送信号。 写入目标内存的能力不仅可以更改其数据存储，还可以更改应用程序自己的代码段，从而允许控制器安装断点并修补目标的运行代码。 设计 我们为 android 设计了一个带有命令行界面和 GUI 的跟踪器和调试器应用程序。 该应用程序可以生成任何其他 android 应用程序并附加到它，从而使跟踪器应用程序能够跟踪和逐步调试被跟踪应用程序。 特征 T
ptrace安卓程序注入例子
02-11
安卓程序ptrace注入例子，送给想研究手游注入的同学 使用JNI注入
Android安全机制 PPT版本
01-27
Android应用程序是运行在一个沙箱中。这个沙箱是基于Linux内核提供的用户ID（UID）和用户组ID...此外，有root权限的应用程序，还可以通过Linux的ptrace注入到其它应用程序进程，以及系统进程，进行各种函数调用拦截。
Android注入代码 - Libinject
03-01
android下使用ptrace实现hook技术的代码，包括shellcode 编译参考Android.mk标准组件格式即可
ptrace-master.zip
05-13
Android so注入，兼容Android11
androidinject:Android全平台注入源码-android
03-24
[Ptrace] Linux内存替换（五）x86_64平台代码注入 hotice0的code_injection Linux 64位shellcode 手游2048的破解实战 Android arm64（aarch64）中的so注入（inject）-兼容x86和arm 反调试及绕过
Ptrace--Linux中一种代码注入技术的应用
Litost_Cheng的博客
10-14 4965
Ptrace–Linux中一种代码注入技术的应用
一种Linux下ptrace隐藏注入shellcode技术和防御方法
小王的储物间
03-10 636
最后如果之前的检查没有拒绝使用ptrace功能，则允许使用。首先定义控制进程（tracer）和被控制进程（tracee），tracer可以观察和控制tracee的执行流程，检查和修改tracee的内存和寄存器内容，一个tracee只能关联（attach）一个tracer，一个tracer可以关联多个tracee。此外，根据一个tracee只能关联一个tracer的规则，可以在程序开始使用PTRACE_TRACEME功能将当前线程变成tracee，之后其它进程不能再对其使用PTRACE_ATTACH功能。
(一) Android.mk 编译多个目标文件 编译多个模块 编译动态库 编译静态库
we1less的博客
04-20 1838
Android.mk 可以编译成 |-- 可执行文件 |-- 动态库 |-- 静态库 |-- jar包 |-- apk 最简单的Android.mk LOCAL_PATH:= $(call my-dir) include $(CLEAR_VARS) //清除变量 L...
shim ptrace
10-26
shim ptrace是一个用于操作进程的系统调用接口。它允许一个进程跟踪、控制和检查另一个进程的执行情况。通过shim ptrace，一个进程可以检查另一个进程的寄存器、内存和系统调用，并有能力修改它们的执行过程。 shim ptrace通常用于调试、监视和诊断进程。调试器可以使用shim ptrace来实现断点、单步执行和修改变量等调试功能。另外，shim ptrace还可以用于分析和检查进程的运行，例如查找进程中的内存泄漏、跟踪系统调用和信号处理。 在使用shim ptrace时，一个进程可以作为被跟踪进程，另一个进程则作为跟踪进程。跟踪进程使用ptrace系统调用来发送指令，而被跟踪进程则接收并执行指令。通过这种方式，跟踪进程可以获取被跟踪进程的状态信息，并对其进行操作。 对于被跟踪进程，它会在指令执行之前接收到跟踪进程发送的指令，并根据指令的要求进行操作。例如，跟踪进程可以用ptrace(PTRACE_PEEKDATA, pid, addr, data)来读取被跟踪进程中地址为addr的内存数据，并将结果保存在data中。类似地，跟踪进程也可以使用ptrace(PTRACE_POKEDATA, pid, addr, data)来修改被跟踪进程的内存值。 总之，shim ptrace是一个强大的工具，允许进程间相互跟踪、控制和修改执行过程。它在调试、监视和诊断进程方面扮演着重要角色，为开发人员提供了有效的方法来分析和改进程序的执行。

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值