如何借助GDB查找经ASLR随机重定位的OS代码内存位置？

针对OS代码被随机重定位的调试场景，你可以通过代码/数据指纹识别的方式在GDB中找到内存中的OS镜像，再手动加载调试符号。以下是具体实现方法：

1. 手动扫描机器码指纹 #

• 先从你的OS可执行文件中提取一段唯一的机器码序列（比如启动入口_start的前8-10字节），用objdump获取：

  objdump -d your_os.elf | grep -A 5 "_start"
  

• 在GDB中，用find命令扫描整个物理内存范围（根据你的OS内存布局调整起止地址）：

  find 0x0, 0xffffffff, 0x55, 0x48, 0x89, 0xe5, 0x48, 0x83, 0xec, 0x20
  

  这里的十六进制数就是你提取的机器码字节，逐个用逗号分隔。
• 找到匹配的地址后，用add-symbol-file加载符号，指定该地址为代码段基地址：

  add-symbol-file your_os.elf 0x7f0000000000
  

2. 自动化GDB脚本 #

如果每次手动扫描太繁琐，写个GDB脚本自动完成定位和符号加载：

# 替换成你的OS启动函数前8字节机器码
set $fingerprint = {0x55, 0x48, 0x89, 0xe5, 0x48, 0x83, 0xec, 0x20}
# 扫描物理内存范围
set $base_addr = find 0x0, 0xffffffff, $fingerprint

if $base_addr != 0
    printf "OS base address found: 0x%x\n", $base_addr
    # 加载符号，这里假设机器码起始就是代码段基地址，如果不是需要调整偏移
    add-symbol-file your_os.elf $base_addr
else
    printf "Failed to locate OS code in memory\n"
end

将脚本保存为aslr_sym_loader.gdb，启动GDB时执行：

gdb -x aslr_sym_loader.gdb

3. 利用数据段常量定位 #

如果代码段指纹容易变化，也可以用只读数据段中的唯一常量（比如特定字符串、固定配置值）：

• 用objdump找到目标常量在ELF中的位置：

  objdump -s your_os.elf | grep -B 2 -A 2 "OS_BOOT_SUCCESS"
  

• 在GDB中扫描该字符串的ASCII值：

  find 0x0, 0xffffffff, 'O','S','_','B','O','O','T','_','S','U','C','C','E','S','S'
  

• 找到内存地址后，根据常量在ELF中的偏移计算代码段基地址：比如常量在ELF中的偏移是0x1A00，找到的内存地址是0x7f0000001A00，那么基地址就是0x7f0000000000，再用add-symbol-file加载符号。

注意事项 #

• 确保扫描的指纹足够唯一，避免误匹配其他内存区域的代码/数据。
• 如果你的OS使用分页机制，需要确认GDB扫描的是物理内存还是虚拟内存，必要时切换到物理内存视角（GDB中可以用monitor info mem查看QEMU的内存映射）。

内容的提问来源于stack exchange，提问作者meepoverflow