--stack 与 --showoff 问题

[chouex]

我是先打开stackplz再打开应用, 应用启动前打开stackplz的话会显示"warn, no running process of ...",
--stack 会显示Error when GetStack:[GetStack] get pid_maps failed by pid:0
--showoff 会显示(UNKNOWN) LR:0xe620a127ff3c(UNNKOWN + 0xe620a127ff3c) PC:0xe623be1c2e7c(UNNKOWN + 0xe623be1c2e7c) SP:0xfffffd7c78d0

请问是什么原因?

...
[1476626568|0|xxxxxxxxx] open(arg_0=0xe6209f38a6fb(/proc/self/maps)) LR:0xe623be21405c(UNNKOWN + 0xe623be21405c) PC:0xe623be1c2e7c(UNNKOWN + 0xe623be1c2e7c) SP:0xfffffd7c7880
[1476626568|0|xxxxxxxxx] open(arg_0=0xb400e621d4cf9330(/apex/com.android.runtime/lib64/bionic/libc.so)) LR:0xe623be21405c(UNNKOWN + 0xe623be21405c) PC:0xe623be1c2e7c(UNNKOWN + 0xe623be1c2e7c) SP:0xfffffd7c7880
[1476626568|0|xxxxxxxxx] open(arg_0=0xe6209f38a6fb(/proc/self/maps)) LR:0xe623be21405c(UNNKOWN + 0xe623be21405c) PC:0xe623be1c2e7c(UNNKOWN + 0xe623be1c2e7c) SP:0xfffffd7c7880
[1476626568|0|xxxxxxxxx] open(arg_0=0xb400e621d4cf9330(/data/app/~~p0QUg1dRyl2-1COPcUYS4w==/xxxxxxxxx-5iYdnEcaT5eCIWaG17t8-g==/lib/arm64/libmbjlidejfdjc.so)) LR:0xe6209f26a0cc(UNNKOWN + 0xe6209f26a0cc) PC:0xe623be1c2e7c(UNNKOWN + 0xe623be1c2e7c) SP:0xfffffd7c78d0
Error when GetStack:[GetStack] get pid_maps failed by pid:1476626568
[1476626568|0|xxxxxxxxx] open(arg_0=0xe6209f38a78e(/proc/self/status)) LR:0xe6209f263f3c(UNNKOWN + 0xe6209f263f3c) PC:0xe623be1c2e7c(UNNKOWN + 0xe623be1c2e7c) SP:0xfffffd7c78d0
Error when GetStack:[GetStack] get pid_maps failed by pid:1476626568
[1476626568|0|xxxxxxxxx] strstr(arg_0=0xfffffd7c8bb8(Name:        xxxxxxxxx
Umask:  0077
State:  R (running)
Tgid:   10812
...

[SeeFlowerX]

warn就是warn，启动前运行也是可以正常追踪的，只是堆栈之类目前处理得不是很好，需要目标进程处于运行状态

可以结合--kill SIGSTOP功能避免目标过早退出，详细用法可以查阅下面的文章

• https://blog.seeflower.dev/archives/269/

另外，如果是pid为0，那不支持对这样的进程进行回溯

[chouex]

目标不暂停应该没问题, frida-server打开了目标才crash

(以下是测试com.android.gallery3d, 排除了是目标自保护的影响)
比较在意的是无论stackplz是先启动还是后启动都无法取得stack和offset, pid不是0就是很长(get pid_maps failed by pid:1476626568), 是process比较特殊还是bug?
在/proc//maps中找到与LR/PC很相似的segment address, 是不是有LR与PC我可以人手算出stack与function offset? (使用radare2之类工具?)

[SeeFlowerX]

看起来是因为你使用的环境问题，导致无法正确获取到pid信息。需要你的内核开启CONFIG_DEBUG_INFO_BTF，否则会使用内置的btf文件，如果你是云服务器版本的docker，那么目前仍然会使用真机的btf文件。

解决办法有两个，一是重新编译内核，开btf，并使用新内核。二是问服务商要一份btf，不过他们大概率没有

[SeeFlowerX]

默认是会输出lr pc的，当然可以手动算。

现在可以使用 --json 输出记录的详细原始信息，里面有结构化数据，你可以自己写脚本处理这些数据。

[chouex]

这是阿里云host的输出：

cat /boot/config-5.15.0-76-generic |grep CONFIG_DEBUG_INFO_BTF
CONFIG_DEBUG_INFO_BTF=y
CONFIG_DEBUG_INFO_BTF_MODULES=y

会不会是--nocheck 没CheckKernelConfig()令HasEnableBTF = false的影响, 所以可以自定义BOOT_CONFIG_PATH文件的路径吗? 我猜host的/boot/config-5.15.0-76-generic 的内容就是guest的/proc/config.gz

有空我试试改了BOOT_CONFIG_PATH build一下

[chouex]

加了--btf 后v2.1.4 --getoff 和 --stack都正常了,
反而是dev branch的版本出问题, 我开了issue