Android注入之Ptrace注入

Ptrace函数

long ptrace(enum __ptrace_request request,pid_t pid,void *addr, void *data);

第一个参数决定ptrace的行为

PTRACE_ATTACH：附加到指定远程进程。
PTRACE_DETACH：从自定远程进程分离。
PTRACE_PEEKTEXT：从远程进程指定内存地址来读取一个WORD大小的数据。
PTRACE_POKETEXT：往远程进程指定内存地址写入一个WORD大小的数据。
PTRACE_GETREG：读取远程进程当前的寄存器环境。
PTRACE_SETREG：设置远程进程寄存器环境。

实现思路

1. 附加到远程进程。
2. 保存CONTEXT环境。
3. 调用mmap分配内存，向内存中写入注入SO的路径及调用的函数名称。
4. 远程调用dlopen加载注入的SO。
5. 远程调用dlsys获取调用函数地址。
6. 远程调用需要的函数。
7. 恢复寄存器环境。
8. 从进程中分离。

具体细节

1. 遍历系统所有/proc/PID/cmdline，对比是否是我们注入的APK，获得APK的PID值。
2. Ptrace附加，waitpid等待子进程暂停。（Ptrace附加后子进程会暂停）
3. Ptrace获取当前子进程CONTEXT环境。
4. 获取子进程mmap函数地址。
5. 父进程远程调用子进程mmap分配内容，获取函数返回值。
6. Ptrace写入需要的字符串。
7. 获取子进程dlopen，dlsys，dlclose函数地址。
8. 父进程远程调用子进程dlopen，dlsys加载并获取SO中函数地址。
9. 调用注入SO的函数。
10. 恢复子进程CONTEXT环境。
11. Ptrace分离

如何获取子进程函数地址？

由于库函数是由加载Android某些链接库实现调用的，那么子进程中函数的偏移与父进程偏移相同，只是模块基址不同，那么：

1. 读取proc/PID/maps，获取子进程和父进程调用函数所在模块的基地址。
2. 获取父进程中函数的绝对地址。
3. 计算出子进程中函数地址。

如何调用函数？

ARM函数调用约定：
函数调用的前4个参数通过R0-R3寄存器传递，剩余的参数按从右到左的顺序压入栈进行传递
返回值保存在R0中

1. 判断参数个数，小于4个直接赋值R0-R3，大于4个则需要抬高栈（目的是为了不破坏栈中后面的数据，以便最后恢复），向栈中按顺序写入参数。
2. 设置PC寄存器值为调用函数地址。
3. 判断调用函数指令为ARM或是Thumb，并置CPST寄存器的标志位（判断跳转的地址位[0]是否为1，见BLX原理）
4. 设置LR寄存器为0。（目的是为了调用完函数后子进程暂停）
5. 运行子程序。（ptrace(PTRACE_CONT)，当下一次系统调用，子进程退出或子进程的执行发生错误。）
6. 获取子程序暂停。（waitpid(WUNTRACED) 当子进程暂停后，立即返回）。