Linux进程地址空间（mmap 系统调用；入侵进程地址空间）

作者： 作者的头像   I168 ,  2023-12-05 22:18:39 ,  所有人可见 ,  阅读 120

0


Linux进程的地址空间

Linux进程的地址空间指的是进程可以访问的内存地址范围。Linux操作系统使用虚拟内存系统，这意味着每个进程都有自己独立的虚拟地址空间。这个地址空间通常被划分为几个段或区域，每个段都有特定的用途：

  1. 文本段（代码段）：

    • 包含进程的可执行代码。
    • 这个段是只读的，以防止进程意外修改其指令。
    • 所有程序实例共享此段以节省内存。

  2. 数据段：

    • 分为初始化和未初始化两部分：
      • 初始化数据段（Data）：包含程序员初始化的全局变量和静态变量。
      • 未初始化数据段（BSS - Block Started by Symbol）：包含初始化为零或在源代码中没有显式初始化的全局变量和静态变量。
    • 数据段的大小可以在运行时使用malloc和free等函数进行更改。

  3. 堆：

    • 用于动态内存分配。
    • 它根据进程的需求在运行时增长和缩小。
    • 通过brk和sbrk等系统调用进行管理。

  4. 栈：

    • 用于存储局部变量、函数参数、返回地址和控制流信息。
    • 它具有LIFO（后进先出）结构，数据被推入栈并弹出。
    • 当调用函数时栈会自动增长，函数返回时缩小。

  5. 内存映射段：

    • 用于将文件映射到内存和共享内存。
    • 这包括共享库和进程间通信。

  6. 内核空间：

    • 为内核保留。
    • 内核空间与运行进程的用户空间分开，确保系统的安全性和稳定性。

  7. 命令行参数和环境变量：

    • 这些也存储在进程的地址空间中，通常位于内存的顶部附近。

进程地址空间中的每个段都有特定的作用，有助于进程的高效和安全执行。操作系统的内存管理器处理这些段的创建、管理和清理。这种设计允许进程彼此隔离，防止一个进程读取或修改另一个进程的内存，从而提高系统的稳定性和安全性。

mmap

在Linux中，mmap 是一个系统调用，它提供了一种将文件或设备映射到内存中的方法。它在内存管理中扮演着关键角色，提供了一种高效访问文件数据的方法。以下是它的工作原理和重要性的概述：

  1. 功能：mmap 在调用进程的虚拟地址空间中创建一个新的映射。这种将文件/设备的一部分与进程的虚拟内存的一部分之间的映射允许进程像访问其内存的一部分那样读取和写入文件。

  2. 效率：使用mmap的一个关键优势是效率。当文件通过mmap映射时，内核可以避免在内核空间和用户空间之间复制数据。特别是对于大文件，这可以带来显著的性能提升。

  3. 映射类型：

    • 文件支持的映射：这些将进程内存的一个区域链接到一个文件。对这个内存区域的更改可以反映在文件中。
    • 匿名映射：这些不受任何文件支持，通常用于分配大块内存。它们被初始化为零。

  4. 共享与私有映射：

    • 共享映射：对内存区域的更改反映在映射文件中，并且对映射相同文件的其他进程可见。
    • 私有映射：修改不会反映回文件，也不会对其他进程可见。

  5. 用途：

    • 加载可执行文件：可执行文件通常使用mmap加载到内存中。
    • 进程间通信（IPC）：共享映射可用于IPC，允许多个进程访问和修改同一内存区域。
    • 内存管理：mmap可用于高效的内存分配和文件I/O操作。

  6. 系统调用接口：mmap系统调用有几个参数，包括地址、长度、保护标志（如读写）、确定映射性质的标志（共享或私有）、要映射的文件的文件描述符，以及文件中的偏移量。

  7. 页面错误和延迟加载：mmap通常使用延迟加载，即实际读取文件在进程访问内存时逐页进行。如果进程访问尚未加载的映射区域的一部分，会发生页面错误，内核将所需数据从文件读入内存。

  8. 限制和注意事项：

    • 可映射的文件大小受地址空间大小的限制。
    • 必须进行适当的错误处理，因为mmap操作可能因各种原因（如内存不足）而失败。

mmap 是Linux中用于管理内存和文件I/O的强大工具，提供了性能优势和灵活性，使文件和设备的访问方式更加多样化。

代码示例

#include <sys/mman.h>
#include <sys/stat.h>
#include <fcntl.h>
#include <stdio.h>
#include <stdlib.h>
#include <unistd.h>

int main() {
    const char *filepath = "example.txt";  // 替换为您的文件路径
    int fd = open(filepath, O_RDONLY);
    if (fd == -1) {
        perror("打开文件错误");
        exit(EXIT_FAILURE);
    }

    // 获取文件大小
    struct stat sb;
    if (fstat(fd, &sb) == -1) {
        perror("获取文件大小错误");
        exit(EXIT_FAILURE);
    }

    // 将文件映射到内存
    char *mapped = mmap(NULL, sb.st_size, PROT_READ, MAP_PRIVATE, fd, 0);
    if (mapped == MAP_FAILED) {
        perror("映射文件错误");
        exit(EXIT_FAILURE);
    }

    // 现在，文件内容在 'mapped' 中。让我们打印前10个字节作为示例。
    for (int i = 0; i < 10 && i < sb.st_size; ++i) {
        printf("%c", mapped[i]);
    }
    printf("\n");

    // 取消映射并关闭文件
    if (munmap(mapped, sb.st_size) == -1) {
        perror("取消映射文件错误");
        // 继续关闭文件
    }

    close(fd);
    return 0;
}

解释：

  • example.txt文件以只读模式打开。
  • 使用fstat获取文件的大小。
  • mmap将文件映射到内存。这个示例使用了MAP_PRIVATE进行私有映射，意味着更改不会写回文件。
  • 程序从内存中读取并打印文件的前10个字节。
  • 最后，使用munmap取消映射文件，使用close关闭文件描述符。

编译和运行：

gcc -o mmap_example mmap_example.c
./mmap_example

入侵进程地址空间

入侵进程地址空间，也被称为进程内存黑客攻击或篡改，是一种常用于调试、逆向工程和不幸的恶意黑客攻击的技术。它涉及访问、读取、修改或向运行中的进程的内存空间注入代码。这是一个复杂且敏感的话题，因为它涉及到计算机安全和伦理的领域。

以下是这个概念的概述：

理解进程地址空间

  • 进程隔离：现代操作系统将每个进程的内存空间隔离开来。这意味着一个进程不能直接访问另一个进程的内存。这种隔离是基本的安全特性。
  • 地址空间布局：每个进程都有自己的虚拟地址空间，其中包括代码（文本段）、数据（数据段、BSS段）、栈和堆的区域。

入侵方法

  • 调试工具：像GDB（GNU调试器）这样的调试器可以附加到一个进程并访问其内存。这通常用于合法的调试目的。
  • 系统调用：像Linux中的ptrace这样的函数允许一个进程控制另一个进程，检查和修改其内存和寄存器状态。这也是调试器使用的方法。
  • 内存注入：向进程的地址空间注入代码，然后执行它。这可以通过像Windows上的DLL注入或创建远程线程等技术完成。
  • 内存扫描：扫描进程的内存以寻找特定的值或模式，通常用于游戏黑客攻击，以改变游戏状态，如分数或生命值。

参考

jyy 操作系统讲义
ChatGPT-4

0 评论

1024
x