起因
在摸索到这个方案之后,mac m1调试aarch64 android kernel最终方案,就准备调试内核了,预备下断点的地方是
c
b binder_poll
b ep_ptable_queue_proc
b remove_wait_queue
但是由于是android系统,上面三个函数会被频繁的触发,不知道哪次断下的是自己提供的进程触发的,所以准备使用条件断点,只在自己的进程触发下断下。这个条件断点的首要目标是获取aarch kernel的current
观察高版本内核gdb相关代码,目标是获取SP_EL0
的值
python
def get_current_task(cpu):
task_ptr_type = task_type.get_type().pointer()
if utils.is_target_arch("x86"):
var_ptr = gdb.parse_and_eval("¤t_task")
return per_cpu(var_ptr, cpu).dereference()
elif utils.is_target_arch("aarch64"):
current_task_addr = gdb.parse_and_eval("$SP_EL0")
if((current_task_addr >> 63) != 0):
current_task = current_task_addr.cast(task_ptr_type)
return current_task.dereference()
困难
狗币google,最新的android emulator使用的qemu版本还是qemu-2.10.0,无法通过gdb获取系统寄存器的值,也就是没办法获取SP_EL0
解决-重编android emulator
重编android kernel
添加CONFIG_GDB_SCRIPTS=y
配置,使gdb附加上时,lx-
系列命令自动可用
编译android emulator
bash
https://android.googlesource.com/platform/external/qemu/+/emu-master-dev/android/docs/LINUX-DEV.md
https://android.googlesource.com/platform/external/qemu/+/emu-master-dev
下载android emulator并编译
bash
# 1、环境,以及下载源码
sudo apt-get install -y git build-essential python qemu-kvm ninja-build python-pip ccache
mkdir $HOME/bin
curl http://commondatastorage.googleapis.com/git-repo-downloads/repo > $HOME/bin/repo
chmod 700 $HOME/bin/repo
export PATH=$PATH:$HOME/bin
mkdir -p emu-master-dev && cd emu-master-dev
repo init -u https://android.googlesource.com/platform/manifest -b emu-master-dev
repo sync -j 8
cd external/qemu
# 2、配置ccache
# 3、编译
python3 android/build/python/cmake.py --noqtwebengine --noshowprefixforinfo --target linux_aarch64 --ccache auto
这个时候就知道android emulator使用的版本到底有多老了qemu-img -V
修改qemu - gdbstub64
bash
https://stackoverflow.com/questions/46415059/how-to-observe-aarch64-system-registers-in-qemu
https://lists.gnu.org/archive/html/qemu-arm/2020-05/msg00703.html
https://github.com/qemu/qemu/commit/200bf5b7ffe
这里只是做测试,把x1,x2
等寄存器替换为了SP_EL0
,时间够,以后再改
target/arm/gdbstub64.c
c
int aarch64_cpu_gdb_read_register(CPUState *cs, uint8_t *mem_buf, int n)
{
ARMCPU *cpu = ARM_CPU(cs);
CPUARMState *env = &cpu->env;
// 这里进行测试 begin
if (n == 1 || n == 2 || n ==3) {
return gdb_get_reg64(mem_buf, env->sp_el[0]);
}
// 这里进行测试 end
if (n < 31) {
/* Core integer register. */
return gdb_get_reg64(mem_buf, env->xregs[n]);
}
switch (n) {
case 31:
return gdb_get_reg64(mem_buf, env->xregs[31]);
case 32:
return gdb_get_reg64(mem_buf, env->pc);
case 33:
return gdb_get_reg32(mem_buf, pstate_read(env));
}
/* Unknown register. */
return 0;
}
修改完毕后,继续重编android emulator
修改android-goldfish-4.4-dev gdb相关脚本
goldfish/scripts/gdb/linux/cpus.py
python
task_type = utils.CachedType("struct task_struct")
class LxCurrentFunc(gdb.Function):
"""Return current task.
$lx_current([CPU]): Return the per-cpu task variable for the given CPU
number. If CPU is omitted, the CPU of the current context is used."""
def __init__(self):
super(LxCurrentFunc, self).__init__("lx_current")
def invoke(self, cpu=-1):
task_ptr_type = task_type.get_type().pointer()
# 我在gdbstub64.c中将x1替换为了SP_EL0
# 后期再改,这里只实验是能获取current
current_task_addr = gdb.parse_and_eval("$x1")
gdb.write(str(hex(current_task_addr)))
if((current_task_addr >> 63) != 0):
current_task = current_task_addr.cast(task_ptr_type)
return current_task.dereference()
使用
下一个断点,在自己的进程运行起来之后断下,目的:通过lx-ps
查看该进程的pid
bash
pwndbg> lx-ps
0xffffffc02a8f7000 2343 AsyncTask #1
0xffffffc02a8f3800 2345 ExecutorUtils
0xffffffc02d4dd400 2367 android_tese <<<<<<<<<<<
下断点,测试
我在gdbstub64.c中将x1替换为了SP_EL0,后期再改,这里只实验是能获取current
bash
b binder_poll if ((struct task_struct)(*$x1)).pid == 2367
b ep_ptable_queue_proc if ((struct task_struct)(*$x1)).pid == 2367
b remove_wait_queue if ((struct task_struct)(*$x1)).pid == 2367