payload.c详细说明——linux c编程内嵌汇编和_start启动

悠悠 2022-03-10 04:54 234阅读 0赞

下面是代码和注释，我详细的讲解一下。在这之前我是不懂的，虽然在看kernel代码的时候经常看到内嵌汇编代码，但也没有认真去学习。借着这次机会查了一下，谈不上懂了，但这3个接口应该是每一行都明白了。希望以后的开发过程中我也能用一下来提高性能，高逼格操作。感谢这篇文章的作者[C语言内联汇编][C]。这个是官网的一些知识，有兴趣可以看一下[GCC-Inline-Assembly][]

//To compile: gcc -fpic -pie -nostdlib payload.c -o payload
    #include <stdio.h>
    #include <asm/unistd_64.h>
    long _write(long fd, char *buf, unsigned long len){
        long ret;
        __asm__ volatile(       //asm表示后面的代码为内嵌汇编，__asm__是asm别名，同义。
            "mov %0, %%rdi\n"   //volatile表示编译器不要优化，指令保持原样，__volatile__是volatile别名，同义。
            "mov %1, %%rsi\n"   //%x为占位符。
            "mov %2, %%rdx\n"   //mov的这前3行叫做指令模板，也就是参数的传递。
            "mov $1, %%rax\n"
            "syscall" : : "g"(fd), "g"(buf), "g"(len));
        asm("mov %%rax, %0" : "=r"(ret));//=表示是输出操作数，"r" 表示需要将变量与某个通用寄存器相关联
        return ret;                         //m表示操作数放在内存，而不是寄存器中
    }                                       //r先放入某个寄存器，然后在指令中使用该寄存器参加运算
                                            //g任何寄存器，内存或者立即数操作都是被允许的，但是，寄存器必须是通用寄存器
    void Exit(long status){
        __asm__ volatile("mov %0, %%rdi\n"
                         "mov $60, %%rax\n"
                         "syscall" : : "r"(status));
    }
    //查看man syscall可以看到，x86-64和32，发现参数的顺序思rdi rsi rdi r10 r8 r9这样的顺序，不能变。
    //syscall指令的调用指令是rax，返回值也是rax，这样一切就都说通了。
    
    int _start(){
        _write(1, "I am payload who has hijacked your process!\n", 48);
    //    _write(1, "123456\n", 8);
        Exit(0);
    }

既然咱是嵌入式C语言开发，那咱就按面向过程的思路去分析这3个接口。代码第一行是编译，其中-fpic和-pie着两个选项是和编完的elf文件的各个段的地址有关，牵扯到共享库的加载等知识。太具体的不太了解，我要说的是-nostdlib选项。这个真的是第一次见到，amaziing！我之前见过的所有的代码的入口地址都是main()函数，但是这个程序没有main函数，只有一个叫做\_start()的函数看着像入口地址，它也确实是入口地址。就是因为有了-nostdlib选项才让程序的入口地址从main()变为\_start()。\_start()函数是在main()函数上层，是\_start()调用了main()，只不过那部分属于底层，经常被隐藏掉，应用层开发根部不关心这些。其他博客说这个选项常用于编译内核和bootloader。-nostdlib的官方名字是：不连接系统标准启动文件和标准库文件，只把指定的文件传递给连接器。

程序从24行开始执行，然后第25行调用\_write()函数，printf()等函数应该就是用write去实现的，我保证！注意write有3个参数，这和系统调用有关。write跳转到第4行开始执行。然后来到第6行，一个神奇的东西出现了——\_\_asm\_\_，它的意思是告诉gcc，下面括号（）里的是汇编程序，记得按汇编规则给我去编译。\_\_asm\_\_和asm是等价的，完全一样。选择哪种看个人爱好。volatile是告诉gcc，你别给我优化，就按我写的给我编译，你知道我要干什么。从第7行到第11行都是一条指令，在一个()里，分行写看着方便清晰。789行看着是不是差不多，就是参数不一样而已。它们确实差不多，都是一类功能——把参数复制给寄存器。%0，%1和%2，分别代表fd,buf和len这3个参数。规则就是参数从0起，到9结束。是不是可以有11个参数，我没有深究，不是重点。然后看第21行和22行的注释，这是man手册中的说明。rdi、rsi、rdx，这就是硬件架构的规定参数保存顺序，不要问为什么。intel设计者就喜欢这个规矩。x86的是这个名字这个顺序，换一个架构就不一定了。789行还没有结束完，它们还和第11行最后一个：后面的内容相关——"g"(fd), "g"(buf), "g"(len)。看到没有，是按参数顺序写的。g有注释，传参写g，一般情况下不会有错，记住，你的情况就是一般情况，你没有特殊情况！789执行完，3个参数就已经传递给了硬件寄存器。

第10行，把1这个值传递给rax寄存器，22行注释说了，rax寄存器即代表系统调用编号，系统调用的返回值也存入其中。1这个值呢在<asm/unistd\_64.h>（你不一定是这个文件，大家系统不一定一样，你的可能是<unistd.h>,但是所有的宏号是一样的，linus他们定好的，谁敢不听喷死他）中可以看到，代表着write。然后第11行的syscall就是开始系统调用的意思喽~

关于第11行中的两个：：我就不详细解释了。所有讲内嵌的博客都有不算特别详细的介绍。第一个：后面跟的是输出，显然这里没有输出。第二个：后面跟的是输入，显然3个参数就是输入。

第12行把rax的值方如%0中，write系统调用已经结束，rax现在存放的内容是wirte的返回值。%0现在代表的是rdi寄存器，就是一个普通的寄存器，存一个数而已。然后看后面有一个：然后跟的就是ret了，第一个冒号后面跟的是输出。=和r代码中有注释。然后13行就return了。

return之后退回\_start，执行第27行，传入参数为0，跳转到16行，然后17行。就一个汇编指令。看到没有和第7行一样。就1个参数用%0代替，第一个参数要放到rdi寄存器中，就这么简单。第18行把立即数60放到rax寄存器中，60在系统调用中代表exit，也没有返回值，就这么退出程序了。

这就是一个大概的解释，即使你一点不懂，只会一点c语言，只要认真看，应该也能理解这个文件中代码的意思了。虽然感染代码没有跑通，但还是有收获的，例如这个c内嵌asm。有不懂的地方可以留言，或者有说错的地方，感谢提出，谢谢。

[C]: https://blog.csdn.net/jmh1996/article/details/82860227
[GCC-Inline-Assembly]: http://www.ibiblio.org/gferg/ldp/GCC-Inline-Assembly-HOWTO.html#s6