macos - macOS v10.15 (Catalina) / x64 上的自修改代码
问题描述
作为移植 Forth 编译器的一部分,我正在尝试创建一个允许自修改代码的二进制文件。血淋淋的细节在https://github.com/klapauciusisgreat/jonesforth-MacOS-x64
理想情况下,我为用户定义创建了一堆页面并像这样调用 mprotect:
#define __NR_exit 0x2000001
#define __NR_open 0x2000005
#define __NR_close 0x2000006
#define __NR_read 0x2000003
#define __NR_write 0x2000004
#define __NR_mprotect 0x200004a
#define PROT_READ 0x01
#define PROT_WRITE 0x02
#define PROT_EXEC 0x04
#define PROT_ALL (PROT_READ | PROT_WRITE | PROT_EXEC)
#define PAGE_SIZE 4096
// https://opensource.apple.com/source/xnu/xnu-201/bsd/sys/errno.h
#define EACCES 13 /* Permission denied */
#define EINVAL 22 /* Invalid argument */
#define ENOTSUP 45 /* Operation not supported */
/* Assembler entry point. */
.text
.globl start
start:
// Use mprotect to allow read/write/execute of the .bss section
mov $__NR_mprotect, %rax // mprotect
lea user_defs_start(%rip), %rdi // Start address
and $-PAGE_SIZE,%rdi // Align at page boundary
mov $USER_DEFS_SIZE, %rsi // Length
mov $PROT_ALL,%rdx
syscall
cmp $EINVAL, %rax
je 1f
cmp $EACCES,%rax
je 2f
test %rax,%rax
je 4f // All good, proceed:
// must be ENOTSUP
mov $2,%rdi // First parameter: stderr
lea errENOTSUP(%rip),%rsi // Second parameter: error message
mov $8,%rdx // Third parameter: length of string
mov $__NR_write,%rax // Write syscall
syscall
jmp 3f
1:
mov $2,%rdi // First parameter: stderr
lea errEINVAL(%rip),%rsi // Second parameter: error message
mov $7,%rdx // Third parameter: length of string
mov $__NR_write,%rax // Write syscall
syscall
jmp 3f
2:
mov $2,%rdi // First parameter: stderr
lea errEACCES(%rip),%rsi // Second parameter: error message
mov $7,%rdx // Third parameter: length of string
mov $__NR_write,%rax // Write syscall
syscall
3:
// did't work -- then exit
xor %rdi,%rdi
mov $__NR_exit,%rax // syscall: exit
syscall
4:
// All good, let's get started for real:
.
.
.
.set RETURN_STACK_SIZE,8192
.set BUFFER_SIZE,4096
.set USER_DEFS_SIZE,65536*2 // 128 kiB ought to be enough for everybody
.bss
.balign 8
user_defs_start:
.space USER_DEFS_SIZE
但是,我得到一个 EACCES 返回值。我怀疑这是因为苹果设置了一些安全策略,但我没有找到好的文档。
mprotect 的源代码在哪里,和/或同时标记数据区域可执行和可写的方法是什么?
我发现编译
gcc -segprot __DATA rwx rwx
确实将整个数据段标记为 rwx,因此必须以某种方式可以做正确的事情。但我宁愿只使托管 Forth 单词的区域可执行,而不是整个数据段。
我在这里找到了类似的讨论,但没有任何解决方案。
解决方案
我想在其中“取消保护”执行权限的段实际上有两个值来描述其权限:
初始保护设置,对于 __DATA 我想要 rw-
最大保护(最宽松)设置,我想成为 rwx。
所以首先我需要将 maxprot 字段设置为 rwx。根据 ld 手册页,这应该通过使用 flags调用gcc或ld-segprot __DATA rwx rw
来实现。然而,Apple 最近对链接器所做的更改基本上忽略了 maxprot 值,并设置 maxprot=initprot。
感谢Darfink,您可以在事后使用此脚本来调整 maxprot 位。我认为需要额外的带有特殊权利的代码签名,但它不是,至少对于 __DATA 段。__TEXT 段可能需要使用com.apple.security.cs.disable-executable-page-protection
权利进行代码签名。
另请参阅此处了解更多详细信息。
纵观全局,我还应该指出,与其解除对原本受保护的 __DATA 段的保护,不如从一开始就为具有 rwx 权限的自修改代码创建一个完整的新数据/代码段。这仍然允许操作系统保护其余数据,并且不需要非标准工具。
推荐阅读
- c - 展开链表比链表好在哪里?
- r - 复制混合模型的晶格图
- php - 使用匿名类测试具有 Eloquent 关系的特征函数
- java - 递归函数打印方形图案有什么新想法吗?
- python-3.x - “无法写入关闭传输”是什么意思?
- https - 使用 https 的 Windows 主机文件?
- python - 在 Django 中过滤嵌套的相关对象
- docker - 如何在 Windows 上更改 rabbitmq 持久消息位置?
- sql - 使用空字段查询时出现“找不到属性”访问错误
- android - 构建位于 skia/platform_tools/android 目录下的示例应用程序查看器时出错