为何使用IDA调试APK原生代码时Android模拟器执行int3后触发SIGTRAP

问题根因分析 #

该问题是IDA 7.5及更早版本x86/x86_64调试器的多线程断点处理逻辑缺陷，和安卓模拟器的指令执行特性共同导致的：

1. x86架构下int3断点指令长度为1字节，CPU执行完int3触发调试异常时，硬件会自动将eip寄存器指向int3指令的下一个地址，即断点地址+1。
2. 标准调试器断点命中后的处理逻辑为：将内存中的int3指令替换为原始指令，再将触发断点的线程的eip回退1字节，指向原断点地址，保证继续执行时指令运行正常。
3. 安卓模拟器为了提升运行性能，会批量执行多线程指令，容易出现多个线程几乎同时命中同一个软件断点的场景。IDA 7.5仅会对第一个检测到的触发断点的线程做eip回退+指令还原处理，其余同时触发断点的线程未做处理，导致这些线程的eip停在断点地址+1的位置，且此时内存中的int3已经被还原为原始指令，IDA无法识别后续上报的SIGTRAP和之前的断点关联，直接当作未知异常抛出。
4. GDB对该场景做了兼容：所有线程上报SIGTRAP时，都会自动校验eip-1地址是否存在已设置的断点，匹配成功就自动做eip回退处理，因此不会出现异常。物理x86安卓设备的多线程调度粒度更细，很难出现多线程同时触发同一断点的边缘场景，因此也不会复现问题。

可行解决方案 #

• 临时手动修复：每次命中断点后，遍历所有活跃线程，找到eip值为断点地址+1的线程，手动修改其eip值为断点地址后再继续运行。修改方法为在IDA寄存器窗口右键点击eip，选择Modify value，输入断点地址即可。
• 替换断点类型：将软件断点替换为硬件断点，硬件断点不需要修改内存指令，不存在int3导致的eip偏移问题。设置方法为在目标地址右键，选择Breakpoint -> Hardware breakpoint，长度选择1字节即可（x86架构最多同时支持4个硬件断点）。
• 配置调试选项：在IDA 7.5中开启断点挂起全线程选项，强制IDA命中断点时冻结所有线程，遍历所有线程状态完成所有断点触发线程的eip修正后再进入中断状态。开启路径为Debugger -> Debugger options -> 勾选Suspend all threads on breakpoint。
• 版本升级：升级到IDA 7.7及以上版本，HexRays官方已在7.7版本的调试器更新中修复了x86/x86_64架构多线程同时触发软件断点的处理缺陷，不会再出现该问题。

内容的提问来源于stack exchange，提问作者user16387400