0
点赞
收藏
分享

微信扫一扫

[PHP内核]PHP内核学习(二)------zend_try实现


文章目录

  • ​​写在前面​​
  • ​​zend_try实现​​
  • ​​zend_try_catch基本用法​​
  • ​​zend_try相关原型定义​​
  • ​​SETJMP​​
  • ​​LONGJMP​​
  • ​​简单的例子​​
  • ​​zend_try实现​​
  • ​​参考文章​​

写在前面

为什么想记录这个,主要是今天学习如何留后门,调用了这个,遂看看

[PHP内核]PHP内核学习(二)------zend_try实现_全局变量


简单记录下

char exec_str[256];
snprintf(exec_str, sizeof(exec_str), "passthru(\"%s\");", "calc");
zend_try{
zend_eval_string(exec_str, NULL, "papa");
}zend_end_try();

zend_try实现

zend_try_catch基本用法

{
...exec_try
} zend_catch {
...exec_catch
} zend_end_try();

zend_try相关原型定义

首先看到定义是在​​/Zend/zend.h​​中

[PHP内核]PHP内核学习(二)------zend_try实现_php_02

SETJMP

不难看到这里有一个关键的函数​​SETJMP​

[PHP内核]PHP内核学习(二)------zend_try实现_全局变量_03


可以看到和​​longjmp​​密不可分,看看函数原型

#include <setjmp.h>
int setjmp(jmp_buf env);

setjmp 函数的功能是将函数在此处的上下文保存在 jmp_buf 结构体中,以供 longjmp 从此结构体中恢复。

  • 参数 env 即为保存上下文的 jmp_buf 结构体变量;
  • 如果直接调用该函数,返回值为 0; 若该函数从 longjmp 调用返回,返回值为非零,由 longjmp 函数提供。根据函数的返回值,我们就可以知道 setjmp 函数调用是第一次直接调用,还是由其它地方跳转过来的。

LONGJMP

函数原型

void longjmp(jmp_buf env, int val);

longjmp 函数的功能是从 jmp_buf 结构体中恢复由 setjmp 函数保存的上下文,该函数不返回,而是从 setjmp 函数中返回。

  • 参数 env 是由 setjmp 函数保存过的上下文。
  • 参数 val 表示从 longjmp 函数传递给 setjmp 函数的返回值,如果 val 值为0, setjmp 将会返回1,否则返回 val。
    longjmp 不直接返回,而是从 setjmp 函数中返回,longjmp 执行完之后,程序就像刚从 setjmp 函数返回一样。

简单的例子

#include <stdio.h>
#include <setjmp.h>
jmp_buf env;
void foo() {
printf("before jmp\n");
int ret = setjmp(env);
if(ret == 0) {
printf("2333\n");
return;
} else {
printf("return %d\n", ret);
}
printf("after jmp\n");
}
int main(int argc, char* argv[]) {
foo();
longjmp(env, 999);
return 0;
}

看看结果

[PHP内核]PHP内核学习(二)------zend_try实现_#include_04


不难理解首先调用setjmp的时候相当于程序片段1把主动权交出来,然后执行if(ret == 0)下面的程序,直到遇到longjmp,把执行权还给了片段1,并且设置jmp_buf为999,片段1继续执行,发现了ret!=0,就输出return 999。

zend_try实现

{                                                            
JMP_BUF *__orig_bailout = EG(bailout);
JMP_BUF __bailout;

EG(bailout) = &__bailout;
if (SETJMP(__bailout)==0) {
{
...exec_try
}
} else {
EG(bailout) = __orig_bailout;
{
...exec_catch
}
}
EG(bailout) = __orig_bailout;
}

梳理下调用流程

  • 保存全局变量里面的bailout
  • 使用setjmp来做跳转执行下面的程序
  • 执行exec_try内的内容
  • 如果exec_try这个代码段里面有longjmp,并且longjmp返回非0,就执行exec_catch
  • 最后,把全局变量里面的bailout恢复

参考文章

​​C 语言中 setjmp 和 longjmp​​



举报

相关推荐

0 条评论