Ta的论坛

#include <linux/module.h>
#include <linux/sched.h> /* For task_struct */
#include <linux/pid.h>   /* For find_get_pid */
#include <linux/mm.h>    /* For mm_struct and vm_area_struct */
 
void print_memory_maps(struct task_struct *task)
{
    struct mm_struct *mm;
    struct vm_area_struct *vma;
 
    if (!task || !task->mm)
        return;
 
    mm = task->mm;
 
    down_read(&mm->mmap_sem); // Lock the memory map
    for (vma = mm->mmap; vma; vma = vma->vm_next) {
        printk(KERN_INFO "Address: %lx-%lx, Flags: %08lx\n",
               (unsigned long)vma->vm_start,
               (unsigned long)vma->vm_end,
               (unsigned long)vma->vm_flags);
    }
    up_read(&mm->mmap_sem); // Unlock the memory map
}
 
static int __init my_module_init(void)
{
    struct pid *pid;
    struct task_struct *task;
 
    pid = find_get_pid(1234); // Replace 1234 with the target PID
    if (pid) {
        task = pid_task(pid, PIDTYPE_PID);
        if (task) {
            print_memory_maps(task);
            put_task_struct(task);
        }
        put_pid(pid);
    }
 
    return 0;
}
 
static void __exit my_module_exit(void)
{
    // Cleanup code here
}
 
module_init(my_module_init);
module_exit(my_module_exit);
 
MODULE_LICENSE("GPL");

Amun

雪币： 1109

活跃值： (3981)

能力值：

( LV3，RANK：30 )

在线值：

发帖

回帖

粉丝

关注

私信

Amun 2024-7-31 14:41: 0

[原创]ROCK5b的EBPF环境搭建（附带成品镜像）&EBPF效果测试
珍惜生命，建议用飞腾主板 + AMD 显卡。

Amun

雪币： 1109

活跃值： (3981)

能力值：

( LV3，RANK：30 )

在线值：

发帖

回帖

粉丝

关注

私信

Amun 2024-7-2 11:29: 0

[原创 ebpf在开发板使用及绕过root检测
看起来是在 redroid 里面搭建开发环境，容器也是用宿主的内核，那么直接在宿主系统上开发就好了，这样看着真奇怪。

Amun

雪币： 1109

活跃值： (3981)

能力值：

( LV3，RANK：30 )

在线值：

发帖

回帖

粉丝

关注

私信

Amun 2024-4-25 15:44: 0

[原创]ebpf在Android安全上的应用：结合binder完成一个行为检测沙箱(下篇)
tracepoints 里就一个 `trace_binder_ioctl(cmd, arg)` 适合使用的，应该改 binder 驱动，多加点 trace_binder_xxxx。

Amun

雪币： 1109

活跃值： (3981)

能力值：

( LV3，RANK：30 )

在线值：

发帖

回帖

粉丝

关注

私信

Amun 2024-3-22 17:00: 0

Android Root环境下动态注入Java和Native代码的实践

学习了，优势在于在没有 Xposed Framework 的情况下，加载和使用 Xposed Module。

以前用 Frida 实现类似的需求，是这么搞的。

用 Frida 官方提供的 frida-inject ，启动一个 App 并注入 frida-agent 到进程

/data/local/tmp # echo "console.log('hijack ' + Process.id)" > ./hello.js
/data/local/tmp # ./frida-inject-16.2.1-android-arm64 -f icu.nullptr.nativetest -s ./hello.js
hijack 14381

/ # cat /proc/14381/maps | grep frida
730275c000-7303173000 r--p 00000000 00:05 2523545                        /memfd:frida-agent-64.so (deleted)
7303174000-7303ea1000 r-xp 00a17000 00:05 2523545                        /memfd:frida-agent-64.so (deleted)
7303ea1000-7303f71000 r--p 01743000 00:05 2523545                        /memfd:frida-agent-64.so (deleted)
7303f72000-7303f8e000 rw-p 01813000 00:05 2523545                        /memfd:frida-agent-64.so (deleted)

然后把 hello.js 换成 XposedFridaBridge.js 之类的东西，就可以启动 Xposed Module 了