// who.c
#include <stdio.h>
#include <unistd.h>

int main()
{
	while (1) {
		printf("who are you ?\n");
		sleep(2);
	}

	return 0;
}

• 通过反汇编who程序可以看出，程序最终会进入while(1)循环体，重复执行"bf24064000"、"e8c5feffff"、"bd0x000000"、"e8ebfeffff"、"ebea"这5条机器指令

• 如果who进程执行到某条指令(比如"e8c5feffff")时暂停了，并且在恢复执行之前，0x400586处的指令块被替换成打印"it's me ~"的代码，那么who进程下次执行，自然就会打印"it's me ~"

• 32位系统，编译如下代码并在反汇编结果中提取：
  

// isme32.c
int main()
{
__asm__(
	"jmp forward\n\t"
	"backward:popl %esi\n\t"
	"movl $4, %eax\n\t"
	"movl $2, %ebx\n\t"
	"movl %esi, %ecx\n\t"
	"movl $12, %edx\n\t"
	"int $0x80\n\t"
	"int3\n\t"
	"forward:call backward\n\t"
	".string \"it's me ~\\n\""
	);

	return 0;
}

• 64位系统，编译如下代码并在反汇编结果中提取：

// isme32.c
int main()
{
__asm__(
	"jmp forward\n\t"
	"backward:popl %esi\n\t"
	"movl $4, %eax\n\t"
	"movl $2, %ebx\n\t"
	"movl %esi, %ecx\n\t"
	"movl $12, %edx\n\t"
	"int $0x80\n\t"
	"int3\n\t"
	"forward:call backward\n\t"
	".string \"it's me ~\\n\""
	);

	return 0;
}

// isme64.c
int main()
{
__asm__(
	"jmp forward\n\t"
	"backward:popq %rsi\n\t"
	"movq $1, %rax\n\t"
	"movq $2, %rdi\n\t"
	"movq $12, %rdx\n\t"
	"syscall\n\t"
	"int3\n\t"
	"forward:call backward\n\t"
	".string \"it's me ~\\n\""
	);

	return 0;
}

• 本篇文章的实验环境是64位ubuntu系统，所以执行"gcc isme64.c -oisme64 -g -Wall"生成isme64可执行文件，并通过反汇编isme64文件提取机器码

// inject.c
#include <stdio.h>
#include <stdlib.h>
#include <string.h>
#include <sys/ptrace.h>
#include <sys/types.h>
#include <sys/wait.h>
#include <sys/user.h>
#include <errno.h>


// 注入指令块(打印"it's me ~")
#ifdef ENV_I386
#define CODE \
	"\xeb\x15\x5e\xb8\x04\x00\x00\x00" \
	"\xbb\x02\x00\x00\x00\x89\xf1\xba" \
	"\x0c\x00\x00\x00\xcd\x80\xcc\xe8" \
	"\xe6\xff\xff\xff\x69\x74\x27\x73" \
	"\x20\x6d\x65\x20\x7e\x0a\x00"
#define REG_IP  regs.eip
#else   // X_64
#define CODE \
	"\xeb\x19\x5e\x48\xc7\xc0\x01\x00" \
	"\x00\x00\x48\xc7\xc7\x02\x00\x00" \
	"\x00\x48\xc7\xc2\x0c\x00\x00\x00" \
	"\x0f\x05\xcc\xe8\xe2\xff\xff\xff" \
	"\x69\x74\x27\x73\x20\x6d\x65\x20" \
	"\x7e\x0a\x00"
#define REG_IP  regs.rip
#endif

#define CODE_SIZE (sizeof(CODE)-1)


/* 往pid进程的addr地址处写数据 */
void putdata(pid_t pid, unsigned long addr, void *vptr, int len)
{
	int count = 0;
	long word;

	while (count < len)
	{
		memcpy(&word, vptr+count, sizeof(word));
		word = ptrace(PTRACE_POKEDATA, pid, addr+count, word);
		count += sizeof(word);

		if (errno != 0)
			printf("putdata failed: %p\n", (void *)(addr+count));
	}
}

/* 读pid进程addr地址处的数据 */
void getdata(pid_t pid, unsigned long addr, void *vptr, int len)
{
	int i = 0, count = 0;
	long word;
	unsigned long *ptr = (unsigned long*)vptr;

	while (count < len)
	{
		word = ptrace(PTRACE_PEEKDATA, pid, addr+count, NULL);
		count += sizeof(word);
		ptr[i++]  = word;

		if (errno != 0)
			printf("getdata failed: %p\n", (void *)(addr+count));
	}
}


int main(int argc, char *argv[])
{
	pid_t pid;
	struct user_regs_struct regs;
	char backup[CODE_SIZE+1];

	if (argc != 2) {
		printf("Usage: %s {pid}\n", argv[0]);
		return -1;
	}

	// 通过启动参数，获取被注入进程号，并attach
	pid = atoi(argv[1]);
	ptrace(PTRACE_ATTACH, pid, NULL, NULL);  // SIGTRAP
	if (errno != 0)
		printf("attach failed: %s\n", strerror(errno));
	wait(NULL);  // 收到回复信号，保证后续过程在attach完成的情况下执行

	// 获取被注入进程当前寄存器值
	ptrace(PTRACE_GETREGS, pid, NULL, &regs);
	// 备份*ip寄存器指向的指令块
	getdata(pid, REG_IP, backup, CODE_SIZE);
	// 替换为CODE指令块
	putdata(pid, REG_IP, CODE, CODE_SIZE);
	// 恢复被注入进程的执行
	ptrace(PTRACE_CONT, pid, NULL, NULL);    // SIGCONT
	// 注入程序最后一条指令为int3，此为即为等待注入指令块执行完毕
	wait(NULL);

	// 等待用户输入，方便查看结果
	printf("continue to execute the orginal process, press any key ..\n");
	getchar();

	// 将修改的指令块恢复为备份内容
	putdata(pid, REG_IP, backup, CODE_SIZE);
	// 恢复被注入进程寄存器值
	ptrace(PTRACE_SETREGS, pid, NULL, &regs);
	
	// detach,被注入进程恢复正常执行
	ptrace(PTRACE_DETACH, pid, NULL, NULL);

	return 0;
}