C函数分析（地址似乎有偏移）

我正在尝试使用 -finstrument-functions 选项来分析函数调用。 基本上，我所做的是将以下内容写入任何已编译的源代码中：

static int __stepper=0;
void __cyg_profile_func_enter(void *this_fn, void *call_site)
                              __attribute__((no_instrument_function));
void __cyg_profile_func_enter(void *this_fn, void *call_site) {
  int i=0;
  for( ; i<__stepper; i++ ) printf(" ");
  printf("E: %p %p\n", this_fn, call_site);
  __stepper ++;
} /* __cyg_profile_func_enter */

void __cyg_profile_func_exit(void *this_fn, void *call_site)
                             __attribute__((no_instrument_function));
void __cyg_profile_func_exit(void *this_fn, void *call_site) {
  int i=0;
  __stepper --;
  for( ; i<__stepper; i++ ) printf(" ");
  printf("L:  %p %p\n", this_fn, call_site);
} /* __cyg_profile_func_enter */

并得到以下结果：

 E: 0xb7597ea0 0xb75987a8
  E: 0xb7597de0 0xb7597ef5
  L:  0xb7597de0 0xb7597ef5
 L:  0xb7597ea0 0xb75987a8

所有函数调用地址都在该区域周围（0xb7.......） 但是，如果我尝试使用“readelf -s”读取函数符号，则会给出以下内容：

2157: 00101150   361 FUNC    LOCAL  DEFAULT   13 usb_audio_initfn
2158: 00100940   234 FUNC    LOCAL  DEFAULT   13 usb_audio_handle_reset
2159: 00100de0   867 FUNC    LOCAL  DEFAULT   13 usb_audio_handle_control

所有函数的二进制地址区域都在0x00左右…… 因此，我无法从函数指针获取函数名称。 看起来像是函数指针如何获取偏移量之类的。

有人有什么想法吗？

从问题来看，您似乎正在分析一个库函数。

要了解正在测量的功能是什么，您有 2 个选择：

1运行使用该库的程序gdb并停在main。此时，得到pid该计划的PID=...并执行“cat /proc/$PID/maps”。在那里你应该看到类似这样的东西：

➜  ~  ps
  PID TTY          TIME CMD
18533 pts/4    00:00:00 zsh
18664 pts/4    00:00:00 ps
➜  ~  PID=18533
➜  ~  cat /proc/$PID/maps
00400000-004a2000 r-xp 00000000 08:01 3670052                            /bin/zsh5
006a1000-006a2000 r--p 000a1000 08:01 3670052                            /bin/zsh5
006a2000-006a8000 rw-p 000a2000 08:01 3670052                            /bin/zsh5
006a8000-006bc000 rw-p 00000000 00:00 0 
...
7fa174cc9000-7fa174ccd000 r-xp 00000000 08:01 528003                     /lib/x86_64-linux-gnu/libcap.so.2.22
7fa174ccd000-7fa174ecc000 ---p 00004000 08:01 528003                     /lib/x86_64-linux-gnu/libcap.so.2.22
7fa174ecc000-7fa174ecd000 r--p 00003000 08:01 528003                     /lib/x86_64-linux-gnu/libcap.so.2.22
7fa174ecd000-7fa174ece000 rw-p 00004000 08:01 528003                     /lib/x86_64-linux-gnu/libcap.so.2.22
...

Here 7fa174cc9000是基地址/lib/x86_64-linux-gnu/libcap.so.2.22图书馆。所以你得到的所有地址readelf -s将被该值抵消。知道基地址，您可以计算出文件中的原始偏移量。

IE。如果你得到了价值7fa174206370库的基地址是7fa1741cf000那么偏移量是7fa174206370 - 7fa1741cf000 = 37370。在我的例子中是sigsuspend来自 GLIBC：

94: 0000000000037370   132 FUNC    WEAK   DEFAULT   12 sigsuspend@@GLIBC_2.2.5

2 Run gdb在使用这些库的程序上。它要么立即在内存中找到加载的库，要么需要指向.text图书馆的部分。

> gdb
(gdb) attach YOUR_PID
(a lot of output about symbols)
(gdb) x/i 0x00007fa174206386
=> 0x7fa174206386 <sigsuspend+22>:  cmp    $0xfffffffffffff000,%rax

这样你就知道了0x7fa174206386在里面sigsuspend.

In case gdb本身不加载任何符号（没有像这样的输出Reading symbols from ... Loading symbols for ...附加后），您可以按照选项查找库的基地址1，然后添加到它的偏移量.text section

➜  ~  readelf -S /lib/x86_64-linux-gnu/libcap.so.2.22 | grep '.text.'
  [11] .text             PROGBITS         0000000000001620  00001620

7fa174cc9000 + 0000000000001620十六进制给出7FA174CCA620，然后你通过附加gdb如上所述并做

(gdb) add-symbol-file /lib/x86_64-linux-gnu/libcap.so.2.22 7FA174CCA620

然后你应该能够找到符号（通过x/i ADDRESS如选项中所示1） 即使gdb不会自行加载它们。

有什么不清楚的地方请追问，我会尽力解释。

澄清为什么会这样:

观察到的行为是由于库被编译为位置无关代码 https://wiki.gentoo.org/wiki/Hardened/Introduction_to_Position_Independent_Code。它使我们能够轻松支持动态库。 PIC 本质上意味着库的 ELF 有.plt and .got节并且可以加载到任何基地址。 PLT是过程链接表，它包含调用位于其他模块中的函数的陷阱，该陷阱首先进入程序解释器以允许其重新定位被调用的函数，然后在第一次调用后跳转到该函数。它之所以有效，是因为程序解释器更新了 GOT（全局偏移表），其中包含要调用的函数的地址。最初，GOT 被初始化，以便在第一次函数调用时跳转到程序解释器的函数，该函数执行当前调用函数的解析。

在 x86-64 上，PLT 条目通常如下所示：

0000000000001430 <free@plt>:
    1430:       ff 25 e2 2b 20 00       jmpq   *0x202be2(%rip)        # 204018 <_fini+0x201264>
    1436:       68 00 00 00 00          pushq  $0x0
    143b:       e9 e0 ff ff ff          jmpq   1420 <_init+0x28>

首先jmpq是跳转到地址，存储在GOT中的位置%rip + 0x202be2:

  [20] .got              PROGBITS         0000000000203fd0  00003fd0
       0000000000000030  0000000000000008  WA       0     0     8

%rip + 0x202be2将0x204012，并将其添加到库的基地址中，以生成与库实际加载位置相关的绝对地址。 IE。如果它加载于0x7f66dfc03000，那么相应 GOT 条目的结果地址将是0x7F66DFE07012。存储在该位置的地址是（在本例中）的地址free功能。它由程序解释器维护以指向实际的free in libc.

有关这方面的更多信息可以找到here http://s.eresi-project.org/inc/articles/elf-rtld.txt.