Подключение к запущенному процессу

Программа GDB обладает прекрасной возможностью подключаться и отклю­чаться от запущенных процессов. Поскольку для большей части серверного про­граммного обеспечения применяются достаточно сложные процедуры при запуске, то зачастую весьма сложно и неудобно запускать программы внутри отладчика.

В данном примере текущей функцией является функция _MD_getf ileinfo64, вызванная функцией PR_GetFIleInfo64, которая в свою очередь была вызвана функцией NSFC_PR_GetFileInfо и т.д. Стек вызовов позволяет проследить вызов функции и определить "путь" исполнения кода в программе.
Использование программы Truss для моделирования исследуемого процесса на платформе Solaris
ДЛЯ восстановления исходного кода исполняемых файлов I-Planet мы скопиро­вали основные исполняемые файлы и связанные с ними библиотеки на стандартную рабочую станцию Windows 2000, где была установлена программа IDA-Рго. Цель заключалась в исследовании обращений к функциям файловой системы и отслежи­вании кода для обработки адресов URL, чтобы удаленно определить возможные пу­ти выполнения программы в файловой системе. Этот пример может использоваться в качестве модели для поиска уязвимых мест во многих пакетах программного обес­печения. С помощью IDA можно восстановить исходный код приложений на многих UNIX-платформах, a GDB позволяет выполнить процесс восстановления практиче­ски на всех доступных платформах.
При восстановлении исходного кода Web-сервера первоочередная задача заклю­чается в поиске подпрограмм, которые обрабатывают данные универсальных иден­тификаторов ресурса (Uniform Resource Identifier — URI). Данные URI предостав­ляются удаленными пользователями. При наличии уязвимых мест их легче всего использовать во вредоносных целях. Среди огромного количества вызовов функций API, которые выполняются каждую секунду, очень сложно выявить наиболее важ­ные. К счастью, существуют мощные средства, с помощью которых можно смодели­ровать запущенное приложение. В нашем случае для отслеживания подпрограмм, обрабатытающих адреса URI, используется отличная Solaris-программа под назва­нием Truss1.
На платформе Solaris 8 программа Truss позволяет отследить библиотечные вы­зовы API запущенного процесса. Это очень удобно для определения того, какие вы­зовы используются при определенных ситуациях в программе. Чтобы понять, какая часть кода сервера I-Planet обрабатывает данные, мы подключили Truss к основному процессу и создали "журналы" вызовов, использовавшихся при обработке Web-запросов (при работе на другой платформе, отличной от Solaris, можно использовать подобное средство под названием It race. Это бесплатная программа с открытым исходным кодом, которая работает на многих платформах).
Пользоваться Truss очень просто, и ее можно подключать и отключать по отно­шению к запущенному процессу. Для подключения к запущенному процессу нужно найти его идентификатор и выполнить следующую команду.
# truss -u *::   -vail -xall -p process_id
Если нужны только определенные вызовы функций API, можно совместить ис­пользование команд truss и grep.
# truss -u *::  -vail -xall -p 2307 2>&1   | grep anon
Приведенная выше команда позволяет отследить процесс с идентификато­ром 2307 и показать только те используемые им вызовы, в которых присутствует подстрока anon. Без труда можно изменить grep для игнорирования определенных вызовов. Это весьма удобно, поскольку можно узнать обо всех вызовах, кроме надо­едливых вызовов poll и read.
# truss -u *::   -vail -xall -p 2307  2>&1   |   grep -v read I   grep -v poll
Обратите внимание на необходимость использования тега, поскольку Truss не выводит данные на стандартное устройство вывода (stdout).
Результат выполнения команды будет выглядеть примерно следующим образом.
/67: <- libns-httpd40:    OFTutil strftime convPciTCc()  = 50
/67:: -> libns-httpd40:    0FT util strftime conwP<caTSte(((OxffOedE3412?..  0x2, 0x2,
0x3 0)
/67: <- libns-httpd40:    OBFEtuttil strftime convPciTCc() = 0;xff2ed345
/67: <- MbnKHhttpdfflO:: INTutilL_sstrftime ()  = 2 0
/67: -> libns-httpd40:INTsystem_strdup(((Sxtf^edffi330,, 0x9»   0x41, 0x50)
/67: -> libns-httpd40:I^Tpo>ol_strdu^«0x^e0KaE0^^, 0xff2edt3330,  0x0, 0x0)
/67: -> libc^:sttrlen^(^0xffl^jd^:ETO, 0x0,  0x0, 0x0)
/67: <- libc:strlesm(())  = 20
/67: <- libns-httpd40:INTpool=strdupO   - 0x9f8bl0
/67: <— lib^j-httpd40:INTsystem=strdupO  - 0x9f8bl0
/67: <- riib^!-httpd40^1timei^^ecurr_strftime_logfmt()  = 0x9f8bl0
/67: -> libc:strcpy(0xf7400710,  0x9f8bl0,  0x0, " 0sx7efefeff)
/67: <- lilbc:strcpy()  = 0xf7400710
/67: -> libc:strlen(0xf7400710,   0x9f8b28,   0xf7400710, 0x0)
/67: <- libc:strlen()  = 20
/67: -> libc:strlen(0x9f4f48,  0x34508f,  0x0, 0x7efefeff)
/67: <- libc:strlen()   = 25
В этом (отчете токазаны ввыиовы функций API, которые треализуются процессом с идентификатором233077. Программа Tlruss делаеет отстрыт в тексте, чтобы ™|делить вложенные вызовы функций. Использование экземпляров запущенных приложений при обработке «определенных запросов и поолеедующе исследование тррассировки вызову является «отличным методом (восстановления исходного кода.