gdb命令linux linux gdb命令

[转载] 从正在运行的Linux进程中dump出内存内容

最近看到有个CTF题感觉挺有意思，就是从一个bin中找到一个secret key，然后用来签名session cookies用来怼一个使用go的Web服务器。通常这种类型题的flag都比较直接。可以直接用strings怼这个bin就可以了，然而这次的这个题目中的bin不同，因为有太多杂碎(noise)要过滤了。于是在此我就来展示一下如何用一些基本的Linux命令配合gdb从进程中dump出内存中的信息。

先file一下，

发现是64位的Linux可执行文件。

然后strings一下，

发现字符串太多，还是先不看，再研究深一点吧。

然后先运行一下程序，

然后再另一个终端找到这个进程的PID

然后cat一下它的内存(太长不看TL;DR)

似乎太多了有点可怕，但是不用害怕。

然后启动gdb，将改进程attach到gdb上。

然后就是gdb命令

解释一下语法：

然后就是用strings命令找出刚才dump出的文件的字符串，我喜欢最少10个长度的字符串(-n 10)来过滤掉一些无用的信息(noise)。

结果如下：

可以看到好像有个hash值，为了不泄露CTF题的答案，我已经把hash值改了。

总结

好了，你已经找到运行的进程的PID，dump出了那个进程的内存内容，然后用gdb，strings命令找出了有用的数据。

以上翻译自：

Let’s get your hands dirty

Down to business

于是我也想试一下啊，然而我想找一个执行命令之后不退出的进程还蛮难的，最终我想到了apache，然而必须要有客户端与apache建立TCP长连接，如果是那种5xx的错误，比如这个，

就会发现TCP连接建立之后马上又断开了。

于是只能弄一个TCP长连接吧。返回200的那种应该可以。

结果发现还是不行。

于是通过htop漫无目的地找吧，于是还是找apache的主进程吧。

通过htop发信apache的主进程的PID为6900，

于是

(注意：要以root的身份启动，否则可能没有权限。)

然后gdb就开始调试6900进程了，一顿输出啊，几秒之后到达gdb的命令行。

然后dump出heap中的内容。

然后在/root目录找到了那两个dump出来的文件，

从任意一个dump中找出10个字符以上的字符串吧。

————————————————

原文链接：

相关问答

Q1: Linux 里面的gdb到底是个什么东西？

分类: 电脑/网络 操作系统/系统故障

问题描述:

第一次在Linux上工作，要用到一个什么gdb的东东。gdb到底是什么呢，各位老大？

解析:

Linux 包含了一个叫 gdb 的 GNU 调试程序. gdb 是一个用来调试 C 和 C++ 程序的强力调试器. 它使你能在程序运行时观察程序的内部结构和内存的使用情况. 以下是 gdb 所提供的一些功能:

它使你能监视你程序中变量的值.

它使你能设置断点以使程序在指定的代码行上停止执行.

它使你能一行行的执行你的代码.

在命令行上键入 gdb 并按回车键就可以运行 gdb 了, 如果一切正常的话, gdb 将被启动并且你将在屏幕上看到类似的内容:

GDB is free sofare and you are wele to distribute copies of it

under certain conditions; type "show copying" to see the conditions.

There is absolutely no warranty for GDB; type "show warranty" for details.

GDB 4.14 (i486-slakware-linux), Copyright 1995 Free Sofare Foundation, Inc.

(gdb)

当你启动 gdb 后, 你能在命令行上指定很多的选项. 你也可以以下面的方式来运行 gdb :

gdb fname

当你用这种方式运行 gdb , 你能直接指定想要调试的程序. 这将告诉gdb 装入名为 fname 的可执行文件. 你也可以用 gdb 去检查一个因程序异常终止而产生的 core 文件, 或者与一个正在运行的程序相连. 你可以参考 gdb 指南页或在命令行上键入 gdb -h 得到一个有关这些选项的说明的简单列表.

Q2: [Linux]gdb查看内存区命令

GNU调试器(GNU Debugger, GDB)是一个开源的源代码级的调试工具,其性能优良、功能齐全、易于使用,在嵌入式系统开发过程中扮演着越来越重要的角色。接下来是我为大家收集的[Linux]gdb查看内存区命令gdb命令linux，希望能帮到大家。

[Linux]gdb查看内存区命令

用gdb查看内存

格式: x /nfu

说明

x 是 examine 的缩写

n表示要显示的内存单元的个数

f表示显示方式, 可取如下值

x 按十六进制格式显示变量。

d 按十进制格式显示变量。

u 按十进制格式显示无符号整型。

o 按八进制格式显示变量。

t 按二进制格式显示变量。

a 按十六进制格式显示变量。

i 指令地址格式

c 按字符格式显示变量。

f 按浮点数格式显示变量。

u表示一个地址单元的长度

b表示单字节gdb命令linux，

h表示双字节，

w表示四字节，

g表示八字节

Format letters are o(octal), x(hex), d(decimal), u(unsigned decimal),

t(binary), f(float), a(address), i(instruction), c(char) and s(string).

Size letters are b(byte), h(halfword), w(word), g(giant, 8 bytes)

举例

x/3uh buf

表示从内存地址buf读取内容，

h表示以双字节为一个单位，

3表示三个单位，

u表示按十六进制显示

例子gdb命令linux：

n是个局部变量

Breakpoint 1, main (argc=1, argv=0xbffff3a4) at calc.c:7

7 int n = atoi(argv[1]);

(gdb) print n

$1 = (int *) 0xbffff2ec

(gdb) x 0xbffff2ec

0xbffff2ec: 0x00282ff4

(gdb) print * (int *) 0xbffff2ec

$2 = 2633716

(gdb) x /4xw 0xbffff2ec

0xbffff2ec: 0x00282ff4 0x080484e0 0x00000000 0xbffff378

(gdb) x /4dw 0xbffff2ec

0xbffff2ec: 2633716 134513888 0 -1073745032

(gdb)

看gdb命令linux了“[Linux]gdb查看内存区命令”还想看gdb命令linux：

1. Linux使用dmidecode命令查看内存型号

2. Linux下查看CPU型号,内存大小,硬盘空间命令

3. 如何在Linux命令行中查看目录的大小

4. LINUX 查看硬件配置命令的教程

关于gdb命令linux和linux gdb命令的介绍到此就结束了，不知道你从中找到你需要的信息了吗 ？如果你还想了解更多这方面的信息，记得收藏关注本站。