gdb-peda超入門 #入門

まずはgdbを使えるようになろう

環境

Ubuntu 16.04 LTS

gdb-pedaをいれてみよう

git clone https://github.com/longld/peda.git ~/peda
echo "source ~/peda/peda.py" >> ~/.gdbinit

使ってみよう

gdb超入門の記事と同じバイナリを使用して練習してみます。

$ gdb test
GNU gdb (Ubuntu 7.11.1-0ubuntu1~16.5) 7.11.1
Copyright (C) 2016 Free Software Foundation, Inc.
License GPLv3+: GNU GPL version 3 or later <http://gnu.org/licenses/gpl.html>
This is free software: you are free to change and redistribute it.
There is NO WARRANTY, to the extent permitted by law.  Type "show copying"
and "show warranty" for details.
This GDB was configured as "x86_64-linux-gnu".
Type "show configuration" for configuration details.
For bug reporting instructions, please see:
<http://www.gnu.org/software/gdb/bugs/>.
Find the GDB manual and other documentation resources online at:
<http://www.gnu.org/software/gdb/documentation/>.
For help, type "help".
Type "apropos word" to search for commands related to "word"...
Reading symbols from test...(no debugging symbols found)...done.
gdb-peda$

プロンプトが白文字の(gdb)から赤文字のgdb-peda$に変わりました。

関数の中を見るコマンドはgdbではdisassでしたが、gdb-pedaでは先頭にpを付けてpdisassというコマンドを使ってみましょう。

gdb-peda$ pdisass main
Dump of assembler code for function main:
   0x0000000000400596 <+0>:     push   rbp
   0x0000000000400597 <+1>:     mov    rbp,rsp
   0x000000000040059a <+4>:     sub    rsp,0x30
   0x000000000040059e <+8>:     mov    rax,QWORD PTR fs:0x28
   0x00000000004005a7 <+17>:    mov    QWORD PTR [rbp-0x8],rax
   0x00000000004005ab <+21>:    xor    eax,eax
   0x00000000004005ad <+23>:    mov    DWORD PTR [rbp-0x24],0xa
   0x00000000004005b4 <+30>:    movabs rax,0x67202c6f6c6c6548
   0x00000000004005be <+40>:    mov    QWORD PTR [rbp-0x20],rax
   0x00000000004005c2 <+44>:    mov    DWORD PTR [rbp-0x18],0x216264
   0x00000000004005c9 <+51>:    lea    rax,[rbp-0x20]
   0x00000000004005cd <+55>:    mov    rdi,rax
   0x00000000004005d0 <+58>:    call   0x400460 <puts@plt>
   0x00000000004005d5 <+63>:    mov    eax,0x0
   0x00000000004005da <+68>:    mov    rdx,QWORD PTR [rbp-0x8]
   0x00000000004005de <+72>:    xor    rdx,QWORD PTR fs:0x28
   0x00000000004005e7 <+81>:    je     0x4005ee <main+88>
   0x00000000004005e9 <+83>:    call   0x400470 <__stack_chk_fail@plt>
   0x00000000004005ee <+88>:    leave
   0x00000000004005ef <+89>:    ret
End of assembler dump.

色が付いてちょっと見やすくなっています。

startしてみます。

gdb-peda$ start
[----------------------------------registers-----------------------------------]
RAX: 0x400596 (<main>:  push   rbp)
RBX: 0x0
RCX: 0x0
RDX: 0x7fffffffe0b8 --> 0x7fffffffe38e ("XDG_SESSION_ID=9152")
RSI: 0x7fffffffe0a8 --> 0x7fffffffe375 ("/home/miyagaw61/tmp/test")
RDI: 0x1
RBP: 0x7fffffffdfc0 --> 0x4005f0 (<__libc_csu_init>:    push   r15)
RSP: 0x7fffffffdfc0 --> 0x4005f0 (<__libc_csu_init>:    push   r15)
RIP: 0x40059a (<main+4>:        sub    rsp,0x30)
R8 : 0x400660 (<__libc_csu_fini>:       repz ret)
R9 : 0x7ffff7de7ab0 (<_dl_fini>:        push   rbp)
R10: 0x846
R11: 0x7ffff7a2d740 (<__libc_start_main>:       push   r14)
R12: 0x4004a0 (<_start>:        xor    ebp,ebp)
R13: 0x7fffffffe0a0 --> 0x1
R14: 0x0
R15: 0x0
EFLAGS: 0x246 (carry PARITY adjust ZERO sign trap INTERRUPT direction overflow)
[-------------------------------------code-------------------------------------]
   0x400591 <frame_dummy+33>:   jmp    0x400510 <register_tm_clones>
   0x400596 <main>:     push   rbp
   0x400597 <main+1>:   mov    rbp,rsp
=> 0x40059a <main+4>:   sub    rsp,0x30
   0x40059e <main+8>:   mov    rax,QWORD PTR fs:0x28
   0x4005a7 <main+17>:  mov    QWORD PTR [rbp-0x8],rax
   0x4005ab <main+21>:  xor    eax,eax
   0x4005ad <main+23>:  mov    DWORD PTR [rbp-0x24],0xa
[------------------------------------stack-------------------------------------]
0000| 0x7fffffffdfc0 --> 0x4005f0 (<__libc_csu_init>:   push   r15)
0008| 0x7fffffffdfc8 --> 0x7ffff7a2d830 (<__libc_start_main+240>:       mov    edi,eax)
0016| 0x7fffffffdfd0 --> 0x0
0024| 0x7fffffffdfd8 --> 0x7fffffffe0a8 --> 0x7fffffffe375 ("/home/miyagaw61/tmp/test")
0032| 0x7fffffffdfe0 --> 0x1f7ffcca0
0040| 0x7fffffffdfe8 --> 0x400596 (<main>:      push   rbp)
0048| 0x7fffffffdff0 --> 0x0
0056| 0x7fffffffdff8 --> 0x4902b0c0c9343526
[------------------------------------------------------------------------------]
Legend: code, data, rodata, value

Temporary breakpoint 1, 0x000000000040059a in main ()

現在のレジスタやスタックの中身や前後の命令が常に表示され、とても見やすくなっていることがわかると思います。
nextiコマンドでいくつか命令を進んでみてください。省略記法であるniコマンドでもできます。
同じコマンドを連続で行う時は、エンターを押すだけで大丈夫です。

gdb-peda$ ni
gdb-peda$ エンター
gdb-peda$ エンター
gdb-peda$ エンター

puts関数まで進みます。gdb-pedaでは、nextcallコマンドで次のcall命令まで進むことができます。

gdb-peda$ nextcall
[----------------------------------registers-----------------------------------]
RAX: 0x7fffffffdfa0 ("Hello, gdb!")
RBX: 0x0
RCX: 0x0
RDX: 0x7fffffffe0b8 --> 0x7fffffffe38e ("XDG_SESSION_ID=9152")
RSI: 0x7fffffffe0a8 --> 0x7fffffffe375 ("/home/miyagaw61/tmp/test")
RDI: 0x7fffffffdfa0 ("Hello, gdb!")
RBP: 0x7fffffffdfc0 --> 0x4005f0 (<__libc_csu_init>:    push   r15)
RSP: 0x7fffffffdf90 --> 0x0
RIP: 0x4005d0 (<main+58>:       call   0x400460 <puts@plt>)
R8 : 0x400660 (<__libc_csu_fini>:       repz ret)
R9 : 0x7ffff7de7ab0 (<_dl_fini>:        push   rbp)
R10: 0x846
R11: 0x7ffff7a2d740 (<__libc_start_main>:       push   r14)
R12: 0x4004a0 (<_start>:        xor    ebp,ebp)
R13: 0x7fffffffe0a0 --> 0x1
R14: 0x0
R15: 0x0
EFLAGS: 0x246 (carry PARITY adjust ZERO sign trap INTERRUPT direction overflow)
[-------------------------------------code-------------------------------------]
   0x4005c2 <main+44>:  mov    DWORD PTR [rbp-0x18],0x216264
   0x4005c9 <main+51>:  lea    rax,[rbp-0x20]
   0x4005cd <main+55>:  mov    rdi,rax
=> 0x4005d0 <main+58>:  call   0x400460 <puts@plt>
   0x4005d5 <main+63>:  mov    eax,0x0
   0x4005da <main+68>:  mov    rdx,QWORD PTR [rbp-0x8]
   0x4005de <main+72>:  xor    rdx,QWORD PTR fs:0x28
   0x4005e7 <main+81>:  je     0x4005ee <main+88>
Guessed arguments:
arg[0]: 0x7fffffffdfa0 ("Hello, gdb!")
[------------------------------------stack-------------------------------------]
0000| 0x7fffffffdf90 --> 0x0
0008| 0x7fffffffdf98 --> 0xa00000000 ('')
0016| 0x7fffffffdfa0 ("Hello, gdb!")
0024| 0x7fffffffdfa8 --> 0x216264 ('db!')
0032| 0x7fffffffdfb0 --> 0x7fffffffe0a0 --> 0x1
0040| 0x7fffffffdfb8 --> 0xd12909d07dfe9c00
0048| 0x7fffffffdfc0 --> 0x4005f0 (<__libc_csu_init>:   push   r15)
0056| 0x7fffffffdfc8 --> 0x7ffff7a2d830 (<__libc_start_main+240>:       mov    edi,eax)
[------------------------------------------------------------------------------]
Legend: code, data, rodata, value

真ん中らへんで、

Guessed arguments:
arg[0]: 0x7fffffffdfa0 ("Hello, gdb!")

とputs関数に渡される引数を推測してくれています。

RBPレジスタに格納されているアドレスよりも84バイト上位のアドレスから5ワード分（x64環境では58バイト）のデータを表示してみましょう。

gdb-peda$ tel $rbp-8*4 5
0000| 0x7fffffffdfa0 ("Hello, gdb!")
0008| 0x7fffffffdfa8 --> 0x216264 ('db!')
0016| 0x7fffffffdfb0 --> 0x7fffffffe0a0 --> 0x1
0024| 0x7fffffffdfb8 --> 0xd12909d07dfe9c00
0032| 0x7fffffffdfc0 --> 0x4005f0 (<__libc_csu_init>:   push   r15)

gdb-pedaでは、telコマンドを使うことでこのように見やすくパースして表示することができます。

終了します。

gdb-peda$ q
$

その他よく使うコマンド一覧

・vmmap
・find
・set

などなど

おわり

gdb-pedaの基本は以上となります。
gdb-pedaは大変素晴らしいツールで、他にも数々のコマンドが存在します。
もっと深くgdb-pedaを知りたい方は、こちらのBlackHatの発表資料を読むと良いでしょう！
また、Exgdbという更に動的解析を効率化するための拡張プラグインもあります。是非使ってみてください。使い方はリポジトリのREADME.md、もしくはこちらの記事を参照ください。

enjoy your gdb-peda life!