如何使用C++ libcapstone获取RSP寄存器值以识别运行时系统调用

理解正确性判定 #

你的前半部分认知正确：LD_PRELOAD加载自定义动态库的初始化阶段，目标二进制确实已经完成内存映射。但后半部分认知存在错误：此时目标程序的业务逻辑尚未执行，mov rax, 0x8(rsp)这条指令运行时的RSP值，和你做反汇编扫描时的当前进程栈指针没有任何关联，你不可能在预扫描阶段提前拿到未来指令执行时的寄存器动态值。

解决方案 #

你当前的静态预扫描反汇编思路只能覆盖rax被直接赋值为立即数的场景，要覆盖所有系统调用号识别场景，需要调整分析逻辑，从预扫描反汇编推导rax值改成运行时拦截syscall执行瞬间直接读取rax值，常用实现方式有两种：

• 方案1：使用ptrace附加到目标进程，在系统调用入口处设置断点，断点触发时直接读取rax寄存器的值，即可直接获得准确的系统调用号，不需要回溯rax的赋值来源。
• 方案2：如果要保留LD_PRELOAD的实现方式，可以结合二进制插桩实现：预扫描阶段定位所有syscall指令的地址，在这些地址处插入跳转指令，跳转到你自定义的处理逻辑；处理逻辑中先读取当前rax值记录系统调用类型，再执行原syscall指令，最后跳转回原程序执行流即可。

如果需要降低插桩的性能损耗，可以在预扫描阶段先过滤掉所有rax为立即数赋值的syscall场景，只对rax为非立即数赋值的syscall位置做插桩处理。

内容的提问来源于stack exchange，提问作者TOM ZHANG