e9patch 使用教程

1. 项目介绍

e9patch 是一个强大的静态二进制重写工具，专为 x86_64 Linux ELF 二进制文件设计。它能够在不恢复控制流的情况下对二进制文件进行重写，适用于修复、加固、插桩、打补丁、调试等多种场景。e9patch 的主要特点包括：

• 可扩展性：能够可靠地重写大型和复杂的二进制文件，包括超过 100MB 的浏览器。
• 兼容性：重写后的二进制文件是原始文件的直接替换，无需额外的依赖。
• 快速性：大多数二进制文件可以在几秒钟内完成重写。
• 低开销：在性能和内存方面具有低开销。
• 可编程性：设计易于集成到其他项目中。

2. 项目快速启动

2.1 安装

首先，克隆 e9patch 的 GitHub 仓库：

git clone https://github.com/GJDuck/e9patch.git
cd e9patch

2.2 构建

e9patch 的构建非常简单，只需运行 build.sh 脚本：

./build.sh

该脚本会自动构建两个工具：

• e9patch：二进制重写器的后端。
• e9tool：e9patch 的前端，用于线性反汇编。

2.3 使用示例

以下是一个简单的使用示例，展示如何为 xterm 中的所有 xor 指令添加打印指令：

./e9tool -M 'asm=/xor */' -P print xterm

该命令会生成一个修改后的 xterm 版本，并将其写入 a.out 文件。运行修改后的 xterm 时，它会打印每个执行的 xor 指令的汇编字符串到 stderr。

3. 应用案例和最佳实践

3.1 插桩示例

假设我们想要对所有跳转指令进行插桩，可以使用以下命令：

./e9tool -M 'asm=/j */' -P empty xterm
./a.out

3.2 性能优化

为了启用新的优化，可以在 e9tool 中使用 -O2 选项：

./e9tool -O2 -M 'asm=/j */' -P empty xterm

3.3 调试和修复

e9patch 还可以用于调试和修复二进制文件中的错误。例如，可以通过插桩来捕获特定的错误条件：

./e9tool -M 'asm=/call */' -P 'entry()@debug' xterm

4. 典型生态项目

4.1 RedFat

RedFat 是一个基于低脂指针的二进制加固系统，使用 e9patch 进行静态二进制重写。

4.2 E9AFL

E9AFL 是一个自动将 AFL 插桩插入二进制文件的工具，利用 e9patch 进行高效的插桩。

4.3 E9Syscall

E9Syscall 是一个使用静态二进制重写技术拦截 libc 系统调用的项目。

4.4 Hopper

Hopper 是一个自动生成库的模糊测试用例的工具，使用 e9patch 进行二进制插桩。

通过这些生态项目，e9patch 展示了其在不同应用场景中的强大功能和灵活性。