查找进程中的所有可执行代码区域

Question

我正在编写一个程序分析工具。 我想在程序中找到所有代码区域（即带有机器指令的区域）。 我还想考虑动态链接代码。 到目前为止，我有一个主进程fork s 并作为跟踪器附加到子进程。 我从procfs /proc/<pid>/maps中读取以查找所有可执行的 m 映射区域（并在每次执行mmap系统调用以支持动态链接时重做），但后来我被卡住了。 我相信在 vm-map 中标记为可执行的所有虚拟内存区域都是ELF格式。

我已经尝试查看内存中具有可执行权限的所有节标头，但有时它们在ELF中的偏移量在映射空间之外，因此不在可执行文件内。 我相信我可能需要查看程序标题，但我做对了。

任何帮助将非常感激！

Answer 1

我试过查看所有部分标题

节头根本不需要出现在二进制文件中（它们仅在堆栈链接期间使用），当然也不需要出现在 memory 中。

我相信我可能需要查看程序标题，但我做对了。

是的，查看程序头应该会为您提供片段。 但是可执行段可能包含只读数据和许多其他内容，因此它们将为您提供所有 static“代码区域”的超集。

此外，可以在没有任何关联的 ELF 文件的情况下创建新的“代码区域”（想想mmap + 即时编译/代码生成）。

不清楚您为什么首先要查找所有代码区域（请参阅http://xyproblem.info ）。 通常二进制分析工具通过跟踪基本块（即通过拦截所有控制传输指令）来发现它们。