我正在尝试稍微调整这里的规则，以及 malloc一个缓冲区，
然后将函数复制到缓冲区。

调用缓冲函数有效，但是当我尝试调用其中的另一个函数时，该函数会引发段错误。

任何想法为什么？

#include <stdio.h>
#include <sys/mman.h>
#include <unistd.h>
#include <stdlib.h>

int foo(int x)
{
    printf("%d\n", x);
}

int bar(int x)
{
}

int main()
{
    int foo_size = bar - foo;

    void* buf_ptr;

    buf_ptr = malloc(1024);

    memcpy(buf_ptr, foo, foo_size);

    mprotect((void*)(((int)buf_ptr) & ~(sysconf(_SC_PAGE_SIZE) - 1)),
             sysconf(_SC_PAGE_SIZE),
             PROT_READ|PROT_WRITE|PROT_EXEC);

    int (*ptr)(int) = buf_ptr;

    printf("%d\n", ptr(3));

    return 0;
}

int foo(int x)
{
    //Anything but calling another function.
    x = 4;
    return x;
}

最佳答案

您的代码不是位置独立的，即使是这样，您也没有正确的重定位将其移动到任意位置。您调用 printf (或任何其他功能)将通过相对于 pc 的寻址完成(通过 PLT，但这不是重点)。这意味着为调用 printf 生成的指令不是对静态地址的调用，而是“从当前指令指针调用函数 X 字节”。由于您移动了代码，因此调用已完成到一个错误的地址。 (我在这里假设 i386 或 amd64，但通常这是一个安全的假设，在奇怪平台上的人通常会提到这一点)。

更具体地说，x86 有两种不同的函数调用指令。一种是相对于指令指针的调用，它通过向当前指令指针添加一个值来确定函数调用的目的地。这是最常用的函数调用。第二条指令是对寄存器或内存位置内的指针的调用。这很少被编译器使用，因为它需要更多的内存间接寻址并停止流水线。共享库的实现方式(您对 printf 的调用实际上会转到共享库)是，对于您在自己的代码之外进行的每个函数调用，编译器都会在您的代码附近插入假函数(这是我提到的 PLT以上)。您的代码对该假函数进行了正常的 pc-relative 调用，假函数将找到 printf 的真实地址。并称之为。不过也无所谓。几乎任何正常的函数调用都将与 pc 相关并且会失败。你在这样的代码中唯一的希望是函数指针。

您可能还会遇到对可执行文件 mprotect 的一些限制。 .检查 mprotect 的返回值, 在我的系统上，您的代码由于另一个原因不起作用:mprotect不允许我这样做。可能是因为malloc的后端内存分配器有额外的限制，以防止对其内存的可执行保护。这让我想到下一点:

您将通过拨打 mprotect 来破坏事物在不由您管理的内存上。这包括您从 malloc 获得的内存.您应该只mprotect您自己通过 mmap 从内核获得的信息.

这是一个演示如何使其工作的版本(在我的系统上):

#include <stdio.h>
#include <sys/mman.h>
#include <unistd.h>
#include <string.h>
#include <err.h>

int
foo(int x, int (*fn)(const char *, ...))
{
        fn("%d\n", x);
        return 42;
}

int
bar(int x)
{
        return 0;
}

int
main(int argc, char **argv)
{
        size_t foo_size = (char *)bar - (char *)foo;
        int ps = getpagesize();

        void *buf_ptr = mmap(NULL, ps, PROT_READ|PROT_WRITE|PROT_EXEC, MAP_ANON|MAP_PRIVATE, -1, 0);

        if (buf_ptr == MAP_FAILED)
                err(1, "mmap");

        memcpy(buf_ptr, foo, foo_size);

        int (*ptr)(int, int (*)(const char *, ...)) = buf_ptr;

        printf("%d\n", ptr(3, printf));

        return 0;
}

int
oldfoo(int x)
{
        printf("%d\n", x);
        return 42;
}

int
foo(int x, int (*fn)(const char *, ...))
{
        fn("%d\n", x);
        return 42;
}

$ cc -Wall -o foo foo.c
$ objdump -S foo | less

0000000000400680 <oldfoo>:
  400680:       55                      push   %rbp
  400681:       48 89 e5                mov    %rsp,%rbp
  400684:       48 83 ec 10             sub    $0x10,%rsp
  400688:       89 7d fc                mov    %edi,-0x4(%rbp)
  40068b:       8b 45 fc                mov    -0x4(%rbp),%eax
  40068e:       89 c6                   mov    %eax,%esi
  400690:       bf 30 08 40 00          mov    $0x400830,%edi
  400695:       b8 00 00 00 00          mov    $0x0,%eax
  40069a:       e8 91 fe ff ff          callq  400530 <printf@plt>
  40069f:       b8 2a 00 00 00          mov    $0x2a,%eax
  4006a4:       c9                      leaveq
  4006a5:       c3                      retq

00000000004006a6 <foo>:
  4006a6:       55                      push   %rbp
  4006a7:       48 89 e5                mov    %rsp,%rbp
  4006aa:       48 83 ec 10             sub    $0x10,%rsp
  4006ae:       89 7d fc                mov    %edi,-0x4(%rbp)
  4006b1:       48 89 75 f0             mov    %rsi,-0x10(%rbp)
  4006b5:       8b 45 fc                mov    -0x4(%rbp),%eax
  4006b8:       48 8b 55 f0             mov    -0x10(%rbp),%rdx
  4006bc:       89 c6                   mov    %eax,%esi
  4006be:       bf 30 08 40 00          mov    $0x400830,%edi
  4006c3:       b8 00 00 00 00          mov    $0x0,%eax
  4006c8:       ff d2                   callq  *%rdx
  4006ca:       b8 2a 00 00 00          mov    $0x2a,%eax
  4006cf:       c9                      leaveq
  4006d0:       c3                      retq

0000000000400530 <printf@plt>:
  400530:       ff 25 ea 0a 20 00       jmpq   *0x200aea(%rip)        # 601020 <_GLOBAL_OFFSET_TABLE_+0x20>
  400536:       68 01 00 00 00          pushq  $0x1
  40053b:       e9 d0 ff ff ff          jmpq   400510 <_init+0x28>

关于c - 调用位于堆中的函数时出现段错误，我们在Stack Overflow上找到一个类似的问题： https://stackoverflow.com/questions/37155754/