[原创]Apatch内核模块之栈回溯升级版以及遇到的问题-Android安全-看雪安全社区

# 前言
在上一篇文章https://bbs.kanxue.com/thread-287893.htm中通过 hook 了 svc 进行了监控，然后获取目标进程内存，利用 fp 寄存器实现了栈回溯。此时的栈回溯只有内存地址，还需要额外的辅助才能拿到 so 中对应的地址，在这篇文章中可以获取到 so 名称以及 so 的相对偏移。
# 升级版
根据 maps 文件的生成原理，可以在源码中查看到show_map_vma
<a href="elink@c7cK9s2c8@1M7q4)9K6b7g2)9J5c8W2)9J5c8Y4S2J5k6h3k6S2L8X3c8J5L8$3W2V1i4K6u0W2j5$3!0E0i4K6u0r3j5h3&6V1M7X3!0A6k6o6p5K6i4K6u0V1y4g2)9J5k6e0p5H3i4K6u0V1L8s2c8K6i4K6u0r3M7#2)9K6c8Y4u0W2k6Y4y4Q4x3@1c8K6K9r3!0%4i4K6g2X3L8h3q4H3i4K6g2X3N6X3#2S2i4K6t1$3M7s2u0G2K9X3g2U0N6q4)9K6c8r3k6K6"><mark class="encrypted">781K9s2c8@1M7q4)9K6b7g2)9J5c8W2)9J5c8Y4S2J5k6h3k6S2L8X3c8J5L8$3W2V1i4K6u0W2j5$3!0E0i4K6u0r3j5h3&6V1M7X3!0A6k6o6p5K6i4K6u0V1y4g2)9J5k6e0p5H3i4K6u0V1L8s2c8K6i4K6u0r3M7#2)9K6c8Y4u0W2k6Y4y4Q4x3@1c8K6K9r3!0%4i4K6g2X3L8h3q4H3i4K6g2X3N6X3#2S2i4K6t1$3M7s2u0G2K9X3g2U0N6q4)9K6c8r3k6K6</mark></a>
```
271  static void
272  show_map_vma(struct seq_file *m, struct vm_area_struct *vma)
273  {
274  	struct mm_struct *mm = vma->vm_mm;
275  	struct file *file = vma->vm_file;
276  	vm_flags_t flags = vma->vm_flags;
277  	unsigned long ino = 0;
278  	unsigned long long pgoff = 0;
279  	unsigned long start, end;
280  	dev_t dev = 0;
281  	const char *name = NULL;
282  
283  	if (file) {
284  		struct inode *inode = file_inode(vma->vm_file);
285  		dev = inode->i_sb->s_dev;
286  		ino = inode->i_ino;
287  		pgoff = ((loff_t)vma->vm_pgoff) << PAGE_SHIFT;
288  	}
289  
290  	start = vma->vm_start;
291  	end = vma->vm_end;
292  	show_vma_header_prefix(m, start, end, flags, pgoff, dev, ino);
293  
294  	/*
295  	 * Print the dentry name for named mappings, and a
296  	 * special [heap] marker for the heap:
297  	 */
298  	if (file) {
299  		seq_pad(m, ' ');
300  		seq_file_path(m, file, "\n");
301  		goto done;
302  	}
303  
304  	if (vma->vm_ops && vma->vm_ops->name) {
305  		name = vma->vm_ops->name(vma);
306  		if (name)
307  			goto done;
308  	}
309  
310  	name = arch_vma_name(vma);
311  	if (!name) {
312  		struct anon_vma_name *anon_name;
313  
314  		if (!mm) {
315  			name = "[vdso]";
316  			goto done;
317  		}
318  
319  		if (vma->vm_start <= mm->brk &&
320  		    vma->vm_end >= mm->start_brk) {
321  			name = "[heap]";
322  			goto done;
323  		}
324  
325  		if (is_stack(vma)) {
326  			name = "[stack]";
327  			goto done;
328  		}
329  
330  		anon_name = anon_vma_name(vma);
331  		if (anon_name) {
332  			seq_pad(m, ' ');
333  			seq_printf(m, "[anon:%s]", anon_name->name);
334  		}
335  	}
336  
337  done:
338  	if (name) {
339  		seq_pad(m, ' ');
340  		seq_puts(m, name);
341  	}
342  	seq_putc(m, '\n');
343  }
```
他是通过struct vm_area_struct *vma 获取到 vm_file，然后使用seq_file_path函数获取到里面的路径字符串，seq_file_path 中调用了seq_path，下面是seq_path 的源码。
```
459  int seq_path(struct seq_file *m, const struct path *path, const char *esc)
460  {
461  	char *buf;
462  	size_t size = seq_get_buf(m, &buf);
463  	int res = -1;
464  
465  	if (size) {
466  		char *p = d_path(path, buf, size);
467  		if (!IS_ERR(p)) {
468  			char *end = mangle_path(buf, p, esc);
469  			if (end)
470  				res = end - buf;
471  		}
472  	}
473  	seq_commit(m, res);
474  
475  	return res;
476  }
477  EXPORT_SYMBOL(seq_path);
```
从这里看出其中的字符串主要是通过d_path 来取得。
## 自己实现
那么根据这个流程我们可以自己实现一个，大概流程如下：
```
task_struct->mm_struct->vm_area_struct->vm_file
d_path(vm_file)
```
具体实现如下
```
typedef char *(*d_path)(const struct path *path, char *buf, int buflen);
d_path d_path_func;

struct mm_struct{
    struct vm_area_struct *mmap;
};

void show_vma(struct task_struct *task, pid_t pid, unsigned long addr){
    struct mm_struct *mm;
    struct vm_area_struct *vma;

mm = get_task_mm_func(task);
    // pr_info(">>> VMA list for PID %d:\n", pid);
    for (vma = mm->mmap; vma; vma = vma->vm_next) {
        if(vma->vm_start <= addr && vma->vm_end >= addr){
            char path[256] = {0};
            if (vma->vm_file) {
                char *tmp = d_path_func(&vma->vm_file->f_path, path, sizeof(path));
                char *path = strrchr(tmp, '/');
                if(path){
                    path++;
                    pr_info("VMA: %s+0x%lx pid: %d\n",
                         path, addr - vma->vm_start, pid);
                }else{
                    pr_info("VMA: %s+0x%lx pid: %d\n",
                         tmp, addr - vma->vm_start, pid);
                }
            }
        }
    }
    mmput_func(mm);
}

d_path_func = (typeof(d_path))kallsyms_lookup_name("d_path");
```
这里要使用到的mm_struct 和vm_area_struct 结构体在 Apatch 中提供的头文件里没有，我们可以自己编写一个头文件
```
#ifndef _LINUX_MM_TYPES_H
#define _LINUX_MM_TYPES_H

struct rb_node {
	unsigned long  __rb_parent_color;
	struct rb_node *rb_right;
	struct rb_node *rb_left;
} __attribute__((aligned(sizeof(long))));

typedef struct {
	unsigned long pgprot;
} pgprot_t;

// struct list_head {
// 	struct list_head *next, *prev;
// };

struct llist_node {
	struct llist_node *next;
};

// struct rcu_head {
// 	struct callback_head *next;
// 	void (*func)(struct callback_head *head);
// } __attribute__((aligned(sizeof(void *))));

struct path {
	struct vfsmount *mnt;
	struct dentry *dentry;
};

struct file {
	union {
		struct llist_node	fu_llist;
		struct rcu_head 	fu_rcuhead;
	} f_u;
	struct path		f_path;
};

struct anon_vma_name;
struct anon_vma;
struct vm_operations_struct;

struct vm_area_struct {
	/* The first cache line has the info for VMA tree walking. */

unsigned long vm_start;		/* Our start address within vm_mm. */
	unsigned long vm_end;		/* The first byte after our end address
					   within vm_mm. */

/* linked list of VM areas per task, sorted by address */
	struct vm_area_struct *vm_next, *vm_prev;

struct rb_node vm_rb;

/*
	 * Largest free memory gap in bytes to the left of this VMA.
	 * Either between this VMA and vma->vm_prev, or between one of the
	 * VMAs below us in the VMA rbtree and its ->vm_prev. This helps
	 * get_unmapped_area find a free area of the right size.
	 */
	unsigned long rb_subtree_gap;

/* Second cache line starts here. */

struct mm_struct *vm_mm;	/* The address space we belong to. */

/*
	 * Access permissions of this VMA.
	 * See vmf_insert_mixed_prot() for discussion.
	 */
	pgprot_t vm_page_prot;
	unsigned long vm_flags;		/* Flags, see mm.h. */

/*
	 * For areas with an address space and backing store,
	 * linkage into the address_space->i_mmap interval tree.
	 *
	 * For private anonymous mappings, a pointer to a null terminated string
	 * containing the name given to the vma, or NULL if unnamed.
	 */

union {
		struct {
			struct rb_node rb;
			unsigned long rb_subtree_last;
		} shared;
		/*
		 * Serialized by mmap_sem. Never use directly because it is
		 * valid only when vm_file is NULL. Use anon_vma_name instead.
		 */
		struct anon_vma_name *anon_name;
	};

/*
	 * A file's MAP_PRIVATE vma can be in both i_mmap tree and anon_vma
	 * list, after a COW of one of the file pages.	A MAP_SHARED vma
	 * can only be in the i_mmap tree.  An anonymous MAP_PRIVATE, stack
	 * or brk vma (with NULL file) can only be in an anon_vma list.
	 */
	struct list_head anon_vma_chain; /* Serialized by mmap_lock &
					  * page_table_lock */
	struct anon_vma *anon_vma;	/* Serialized by page_table_lock */

/* Function pointers to deal with this struct. */
	const struct vm_operations_struct *vm_ops;

/* Information about our backing store: */
	unsigned long vm_pgoff;		/* Offset (within vm_file) in PAGE_SIZE
					   units */
	struct file * vm_file;		/* File we map to (can be NULL). */
	void * vm_private_data;		/* was vm_pte (shared mem) */
};

#endif
```
这个结构体可以从源码中复制过来，要注意对应内核版本，我的手机是 5.10 内核所以用的 5.10 版本。另外，这里可以截断一部分，只需要覆盖到我们需要用的成员偏移，能让编译器找到对应偏移即可。新的效果如下：

# 问题
使用该内核模块拦截到的是所有的 svc，那么栈回溯中也会回溯所有调用到的。这里发现 dmesg 打出来的日志里有很多系统自身调用 svc 生成的，会干扰到我们查看日志。
此处考虑从 task 结构体中获取 cred 结构体，在 cred 结构体中会保存进程 uid，通过过滤 uid 可以知道是否是普通 app 的进程。
```
tips： 在安卓中，uid1000 以内是系统调用，2000 是 shell，普通的 app 是 10000 以上
```
但是在实现的过程中，调用了get_task_cred 获取 cred 结构就会导致内核崩溃，下面是实现源码：
```
int is_user_app(struct task_struct *task){
    const struct cred *cred_ = get_task_cred_func(task);
    if(cred_){
        if(cred_->uid.val >= 10000){
            __put_cred_func(cred_);
            return 1;
        }else{
            __put_cred_func(cred_);
            return 0;
        }
    }
    __put_cred_func(cred_);
    return 0;
}
```
还请各位大佬指点一下

回复或点赞可查看完整内容

传递专业知识、拓宽行业人脉——看雪讲师团队等你加入！！

#基础理论 #逆向分析 #系统相关

最新回复 (42) 1 2 ▶
mb_ldbucrik 雪币： 6 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 707 粉丝 7 关注私信	mb_ldbucrik 2 楼感谢分享 2025-8-9 17:28 0
ldehua 雪币： 158 活跃值： (2731) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 111 粉丝 0 关注私信	ldehua 3 楼感谢分享 2025-8-9 19:35 0
mb_qqlojqnm 雪币： 281 活跃值： (1339) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 28 粉丝 2 关注私信	mb_qqlojqnm 4 楼广西风险等级 2025-8-10 07:27 0
dadadasda 雪币： 107 活跃值： (780) 能力值： ( LV2，RANK：10 ) 在线值：发帖 5 回帖 32 粉丝 42 关注私信	dadadasda 5 楼在内核空间搜索回溯就不太有效率吧，尤其是想要实现dladdr和函数符号定位。保留基本的pc和lr就行，剩下的按照运行时so加载基址反查结合内存dump静态分析更好。毕竟很多壳都不用bl和blr，你获取的栈桢可能是很多层之前的调用入口了，中间不知道b/br了几次 2025-8-10 20:48 1
dadadasda 雪币： 107 活跃值： (780) 能力值： ( LV2，RANK：10 ) 在线值：发帖 5 回帖 32 粉丝 42 关注私信	dadadasda 6 楼 uid过滤的话，你可以在模块里内建一张idr表，里面插入需要监测的uid键。至于uid的获取可以参考下current_uid()宏的实现，好像需要rcu_deference保护 2025-8-10 20:54 0
git_27068Lych1e1 雪币： 0 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 19 粉丝 0 关注私信	git_27068Lych1e1 7 楼感谢分享 2025-8-11 17:22 0
mb_irhdtnzm 雪币： 23 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 158 粉丝 0 关注私信	mb_irhdtnzm 8 楼 1 2025-8-12 09:12 0
孤恒雪币： 1627 活跃值： (1545) 能力值： ( LV4，RANK：40 ) 在线值：发帖 6 回帖 16 粉丝 73 关注私信	孤恒 9 楼 dadadasda uid过滤的话，你可以在模块里内建一张idr表，里面插入需要监测的uid键。至于uid的获取可以参考下current_uid()宏的实现，好像需要rcu_deference保护 OK，谢谢大佬 2025-8-12 09:37 0
mb_pesxllvn 雪币： 378 能力值： ( LV1，RANK：0 ) 在线值：发帖 1 回帖 122 粉丝 2 关注私信	mb_pesxllvn 10 楼 666 2025-8-12 17:41 0
三一米田雪币： 1158 活跃值： (5550) 能力值： ( LV9，RANK：160 ) 在线值：发帖 13 回帖 34 粉丝 102 关注私信	三一米田 2 11 楼 .. 最后于 2025-8-15 11:17 被三一米田编辑，原因： 2025-8-15 09:46 0
万里星河雪币： 273 活跃值： (2409) 能力值： ( LV2，RANK：10 ) 在线值：发帖 3 回帖 603 粉丝 8 关注私信	万里星河 12 楼我记得Apatch里提供了专门的api可以直接获取uid 2025-8-16 11:20 0
寻梦之璐雪币： 764 活跃值： (3842) 能力值： ( LV2，RANK：10 ) 在线值：发帖 2 回帖 170 粉丝 16 关注私信	寻梦之璐 13 楼 1 2025-8-18 23:08 0
mb_nazusqig 雪币： 1 能力值： ( LV1，RANK：0 ) 在线值：发帖 1 回帖 16 粉丝 0 关注私信	mb_nazusqig 14 楼 666 2025-8-19 09:10 0
Ankeys 雪币： 722 能力值： ( LV1，RANK：0 ) 在线值：发帖 2 回帖 98 粉丝 5 关注私信	Ankeys 15 楼 666 2025-8-19 14:49 0
mb_vxufgfcw 雪币： 200 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 23 粉丝 0 关注私信	mb_vxufgfcw 16 楼孤恒666 2025-9-2 15:20 0
artake 雪币： 13 活跃值： (2721) 能力值： ( LV4，RANK：40 ) 在线值：发帖 13 回帖 188 粉丝 1 关注私信	artake 17 楼 666 2025-9-4 14:36 0
FMNS 雪币： 9 活跃值： (2036) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 124 粉丝 1 关注私信	FMNS 18 楼 666 2025-9-15 01:01 0
完顔修正雪币： 166 活跃值： (423) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 5 粉丝 0 关注私信	完顔修正 19 楼感谢分享 2025-9-19 17:24 0
夜惜风雨雪币： 95 活跃值： (3767) 能力值： ( LV2，RANK：10 ) 在线值：发帖 1 回帖 155 粉丝 0 关注私信	夜惜风雨 20 楼 6666 2025-9-21 10:37 0
Ms135 雪币： 9 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 89 粉丝 0 关注私信	Ms135 21 楼 666 2025-9-23 16:14 0
mb_pnyyaazf 雪币： 527 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 35 粉丝 0 关注私信	mb_pnyyaazf 22 楼 66 666 2025-9-24 16:05 0
dreameriii 雪币： 115 活跃值： (3969) 能力值： ( LV3，RANK：20 ) 在线值：发帖 3 回帖 64 粉丝 37 关注私信	dreameriii 23 楼优秀的！ 2025-9-28 14:48 0
Viseris 雪币： 0 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 70 粉丝 0 关注私信	Viseris 24 楼 66666 2025-10-9 15:41 0
git_52399CodeExia54 雪币： 0 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 11 粉丝 0 关注私信	git_52399CodeExia54 25 楼 777777 2025-10-10 02:31 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复