[原创] 基于文件内部指针拦截文件读写-Android安全-看雪安全社区

# 基于文件内部指针拦截maps读写

+ 目前想拦截`maps`中的加载记录最好的方式就是进行`io`重定向 但是进行重定向需要处理的函数太多了 还需要防止app通过`fd`反查文件路径是否是`maps`
+ 这里提供一个思路 我在`app`内实现确实可行-**基于文件内部指针**
+ **有一个弊端是会影响效率**
+ **并且不是比较通用**
+ **提供一个思路 并不是很有效的解决方案**

---

1. 首先知道 在`int fd = syscall(__NR_openat, AT_FDCWD, "/proc/self/maps", O_RDONLY);`打开一个文件的情况下 文件内部的指针 是在文件的开始 等待读取
2. 这个时候 调用`syscall(__NR_read, fd, &byte, 1)`将会读取一个字节到`byte`中 内部指针往后移动一位 下次调用循环往复 直到读取到文件结尾

---

+ 那么我们就可以拦截文件的读取`read`在每次传递进来的`fd`中 事先读取一整行 判断是否有我们的模块加载记录信息, 当存在我们的加载记录 则直接返回 因为我们主动调用了`read`文件内部指针往后移到了下一行 那么这行记录将不会被`app`读取到,当不存在 我们把文件内部指针往回移动读取的字节长度 并且设置一个计数器**因为每次调用`read`读取的是一个字节 我们事先读取了一整行 接下去的那么多字节长度的次数内 都是我们已经判断过的字符串 所以不需要再进行判断**, 在指定次数内 不再进入判断逻辑
+ 这样一来 当遇到注入的内存段 文件指针跳转到下一行 当没有注入内存段 文件指针回移 不影响其运行
+ 下面提供代码以进行测试

```c
    LOGE("开始读取maps");
    int fd = syscall(__NR_openat, AT_FDCWD, "/proc/self/maps", O_RDONLY); // 使用系统调用打开文件
    if (fd == -1) {
        LOGE("Failed to open maps file");
    }

char buf[BUF_SIZE];
    char byte;
    int bytesRead;
    int i = 0;

while ((bytesRead = syscall(__NR_read, fd, &byte, 1)) > 0) { // 逐字节读取文件内容
        buf[i++] = byte;

if (byte == '\n') {
            buf[i] = '\0'; // 在行末添加字符串终止符
            LOGE("%s", buf);
            i = 0; // 重置缓冲区索引
        }
    }

if (bytesRead == -1) {
        LOGE("Error while reading file");
        close(fd);
    }

close(fd);
```

+ **上面的代码读取maps的每一行 进行输出 下面尝试拦截libart.so的加载记录**

```c
#define BUF_SIZE 1024

static int count = 0;

int checkFd(int fd) {
    if (count == 0) {
        char buf[BUF_SIZE] = {0};
        char byte;
        int i = 0;

while (syscall(__NR_read, fd, &byte, 1) > 0) { // 逐字节读取文件内容
            buf[i++] = byte;
            if (byte == '\n') {
                buf[i] = '\0'; // 在行末添加字符串终止符
                if (strstr(buf, "libart.so")) {
                    // 读取到指定内容 字节返回fd
                    return fd;
                } else {
                    // 回移文件指针
                    off_t current_pos = lseek(fd, 0, SEEK_CUR);
                    syscall(__NR_lseek, fd, current_pos - i, SEEK_SET);
                    count = i;
                    return fd;
                }
            }
        }
    }
    count--;

return fd;
}
```

+ 我们只需要对`read`的`fd`额外套一层函数调用即可
+ `bytesRead = syscall(__NR_read, checkFd(fd), &byte, 1)`
+ 那么再次运行将不会读取到`libart.so`内存段
+ **因为每一行都额外增加了读取操作 会比较影响性能**
+ 这里提供的思路不仅仅是读取

登录后可查看完整内容

传递专业知识、拓宽行业人脉——看雪讲师团队等你加入！！

最后于 2024-2-20 10:28 被肉蚌葱鸡编辑，原因：内容编辑

#基础理论 #HOOK注入 #工具脚本

最新回复 (6)
肉蚌葱鸡雪币： 0 活跃值： (1983) 能力值： ( LV2，RANK：10 ) 在线值：发帖 2 回帖 39 粉丝 5 关注私信	肉蚌葱鸡 2 楼使用seccomp进行拦截svc似乎会导致一些问题这似乎和在信号处理程序里面再次调用svc有关系 2024-2-21 13:11 0
万里星河雪币： 283 活跃值： (2419) 能力值： ( LV2，RANK：10 ) 在线值：发帖 3 回帖 604 粉丝 8 关注私信	万里星河 3 楼肉蚌葱鸡使用seccomp进行拦截svc似乎会导致一些问题这似乎和在信号处理程序里面再次调用svc有关系[em_5] 所以需要做个标记以过滤 2024-2-27 22:36 0
肉蚌葱鸡雪币： 0 活跃值： (1983) 能力值： ( LV2，RANK：10 ) 在线值：发帖 2 回帖 39 粉丝 5 关注私信	肉蚌葱鸡 4 楼万里星河所以需要做个标记以过滤好像是的死循环是因为系统调用没有增加判断标识 2024-2-28 10:01 0
caolinkai 雪币： 3851 活跃值： (4324) 能力值： ( LV2，RANK：10 ) 在线值：发帖 7 回帖 826 粉丝 1 关注私信	caolinkai 5 楼感谢分享 2024-3-9 13:59 0
iBa0 雪币： 1901 活跃值： (5928) 能力值： ( LV4，RANK：40 ) 在线值：发帖 6 回帖 490 粉丝 37 关注私信	iBa0 6 楼现在更多的用KPM模块来拦截了 2026-4-12 15:18 0
肉蚌葱鸡雪币： 0 活跃值： (1983) 能力值： ( LV2，RANK：10 ) 在线值：发帖 2 回帖 39 粉丝 5 关注私信	肉蚌葱鸡 7 楼 iBa0 现在更多的用KPM模块来拦截了是的一个思路吧虽然不好用 2026-5-5 16:59 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复