如何通过查看堆栈值来生成回溯？

Question

测验：如何通过查看堆栈值来生成回溯？

0xf3e2de34 f3e2de70 c0135351 401ef021 00000000   p.bsQS...p......
0xf3e2de44 f3e2de81 00000021 f3e2c000 f7950924   ..bs......bs...w
0xf3e2de54 00000000 401ef000 00000246 00000246   .....p..F...F...
0xf3e2de64 00000001 00000001 f7950000 f3e2df18   ...........w..bs
0xf3e2de74 c02898b5 322d7875 23203235 00007820   5...ux.252...x..
0xf3e2de84 f3e2de98 00000000 f7950bd0 bffff0ec   ..bs....P..wlp..
0xf3e2de94 c70cf660 00000000 00000000 bffff0ec   .v.G........lp..
0xf3e2dea4 f3e2c000 f7950930 7fffffff 00000000   ..bs0..w........
0xf3e2deb4 00000000 00000001 00000000 bffff07b   .............p..
0xf3e2dec4 f5cfd880 bffff07b 00000000 f5f24740   .XOu.p.......Gru
0xf3e2ded4 c0124f87 00000000 00000000 00200200   .O..............
0xf3e2dee4 f3e2defc 067b3067 00000000 f5f24740   ..bsg0.......Gru
0xf3e2def4 c0124f87 f7950934 f7950934 c028331b   .O..4..w4..w.3..
0xf3e2df04 00000000 c01b0fe8 f5cfd880 f7950000   ....h....XOu...w
0xf3e2df14 fffffffb f3e2df50 c0283642 00000001   ....P.bsB6......
0xf3e2df24 00000001 00000001 f3e2c000 f6fe30d0   ..........bsP0.v

提示 - 当前函数始终可以从 EIP 确定

我在 kernelnewbies/ABI 文档。
我真的不明白那里给出的提示？（也许是因为我不知道这件事）。

有人可以解释一下如何解决这些类似的问题吗？

Answer 1

在这种情况下，您可以非常可靠地完成此操作，因为该代码是在启用帧指针的情况下编译的。

您需要了解的是：

• EIP 是一个寄存器，指向下一条要执行的指令。

• 调用函数时，参数和 EIP（因此被调用函数知道返回到哪里）保存在堆栈上。

• 当编译器被告知（显式或隐式）使用帧指针时，它会将帧指针（在 EBP 寄存器中）保存在堆栈上（以便稍后可以将帧指针恢复为它在堆栈上的值）调用函数），然后将帧指针设置为指向当前堆栈顶部。这允许从已知的引用点（帧指针）轻松访问参数和局部变量，并大大简化调试。

• 然后，为局部变量保留空间，并执行该函数。
• 当从函数返回时，前一帧指针和指令指针被恢复。

因此，要生成回溯，您需要跟踪帧指针，查看相应的已保存 EIPS。所以：

current function was called from c0135351
follow f3e2de70 → was called from c02898b5
follow f3e2df18 → was called from c0283642

当然，这是最简单的情况。当你没有帧指针时，你必须猜测堆栈上的给定值是否对应于指令指针。

缺少的部分是如何将这些数字转换为函数名称。拥有一个未剥离的 vmlinux（注意 x，而不是 z）文件是非常宝贵的。 System.map 仅包含一些符号，因此通常您最终只能知道相关函数位于函数 A 和函数 B 之间。

编辑：

函数调用x86 看起来像：

                                        ...
int main()                              add  $-0x8,%esp ; alignment
{                                       push $0x2       ; arg 2
        ...                             push $0x1       ; arg 1
        func(1, 2);                     call func       ; function call
        ...                             add  $0x10,%esp ; pop args from stack
}                                       ...

被调用的函数看起来像：

void func(int arg1, int arg2)           push %ebp       ;\
{                                       mov  %esp,%ebp  ;/ create stack frame
        int local1;                     sub  $0x18,%esp ; reserves space
        ...                             ...
}                                       mov  %ebp,%esp  ;\
                                        pop  %ebp       ;/ destroys frame
                                        ret             ; returns

因此，堆栈看起来类似于：

          :           :
          +-----------+
          : alignment :
          +-----------+
12(%ebp)  |   arg2    |
          +-----------+
 8(%ebp)  |   arg1    |
          +-----------+
 4(%ebp)  |    ret    | -----> return address
          +-----------+
  (%ebp)  |    ebp    | -----> previous ebp
          +-----------+
-4(%ebp)  |  local1   | -----> local vars
          +-----------+
          : alignment :
          +-----------+
          :           :

（较低的地址在 ASCII 艺术上较低）

所以，如果您继续跟踪保存的 EBP 指针，你可以得到保存的EIP指针（上面的ret），它指向调用链中的指令（准确地说是返回链中）。

Answer 2

我认为EIP是指令指针——它保存当前正在执行的指令的地址。