QBDI初探

前言

QBDI是一个动态插桩工具，和pintools有点类似。 类似的工具还有Valgrind、DynamoRIO，过多的就不赘述，下面介绍QBDI的简单使用。

image.png

正文

安装

macos下安装QBDI，官方有release版的，也可以从github上clone下来编译，下面贴一下编译命令。

mkdir build
cd build
make llvm
make gtest
../cmake/config-macOS-X86_64.sh
make -j4
make install

测试

测试是否安装成功，运行一下命令。

mkdir test
cd test
qbdi-template
make
./qbdi_template

预期效果.png

play with it

既然是插桩工具，那么此工具可以用来分析代码覆盖率和代码的执行路径。本来准备试一下arm下native库的代码执行路径记录的。可惜官方的arm正在测试中，无法使用。那么来试试x86平台吧。我将QBDI和Frida结合起来，记录代码执行路径。贴一下简单的demo

#include <stdio.h>
#include <stdlib.h>
#include <string.h>

void target_code(int num){
    int i = 0 ;
    if(num >100){
        int a = 0xdead;
        int b = 0xbeef;
        int c = a + b;
    }else{
        printf("number too small\n");
    }
}


int main(){
    printf("[+] Runing For QBDI\n");
    getchar();
    // target_code();
    return 0;
}

这是我们的目标hack进程，运行他的时候会阻塞，其中还有target_code是没有执行的。结合frida执行该函数。
首先第一步：运行此程序，程序会阻塞在getchar();

image.png

第二步：

frida qbdi_template -l /usr/local/share/qbdi/frida-qbdi.js --runtime=v8

大概含义就是attach到当前的 qbdi_template进程上，然后切换运行环境为v8。frida-qbdi脚本是make install安装的。只要安装成功就不会有其他问题，然后我们这里的目的是主动调用target_code代码，然后记录他的运行路径。在frida-qbdi.js最后面加上下面的代码。

var vm = new QBDI();
var state = vm.getGPRState();
vm.allocateVirtualStack(state, 0x1000000);
var funcPtr = Module.findExportByName(null, "target_code");
vm.addInstrumentedModuleFromAddr(funcPtr);
var icbk = vm.newInstCallback(function(vm, gpr, fpr, data) {
    var inst = vm.getInstAnalysis();
    // Display instruction dissassembly
    
    var fmt = "0x" + inst.address.toString(16) + " " + inst.disassembly;
    console.log(fmt);
    return VMAction.CONTINUE;
});
vm.addCodeCB(InstPosition.PREINST, icbk);
vm.call(funcPtr,[99]);

最后就可以看到下面的结果啦。

Attaching...
0x1032c9ed0     push    rbp
0x1032c9ed1     mov rbp, rsp
0x1032c9ed4     sub rsp, 32
0x1032c9ed8     mov dword ptr [rbp - 4], edi
0x1032c9edb     mov dword ptr [rbp - 8], 0
0x1032c9ee2     cmp dword ptr [rbp - 4], 100
0x1032c9ee6     jle 28
0x1032c9f08     lea rdi, [rip + 117]
0x1032c9f0f     mov al, 0
0x1032c9f11     call    66
0x1032c9f58     jmp qword ptr [rip + 4266]
0x1032c9f16     mov dword ptr [rbp - 24], eax
0x1032c9f19     add rsp, 32
0x1032c9f1d     pop rbp
0x1032c9f1e     ret
[Local::qbdi_template]->

因为我们传入到target_code的参数是99，小于100。不会执行num > 100的分支，可以看到是正确的执行路径。