第三章 ARM Shellcode编写环境搭建

说实话，ARM架构的Shellcode编写，最劝退人的往往不是指令集本身，而是环境搭建。我见过太多学员卡在这一步——工具链装不上、QEMU跑不起来、GDB连不上目标，折腾两天直接放弃。

这一章，咱们就把这些坑一个个填平。你跟着我的步骤走，半小时内就能搭出一套可用的ARM Shellcode开发调试环境。

3.1 交叉编译工具链安装

ARM设备通常没有完整的GCC工具链，我们得在x86主机上交叉编译。说白了，就是用x86的电脑，生成ARM能跑的机器码。

3.1.1 选择工具链版本

我个人习惯用gcc-arm-linux-gnueabihf这套。为什么选它？因为大多数CTF题目和IoT设备都基于ARMv7架构，带硬件浮点（hf），兼容性最好。

3.1.2 安装步骤（Ubuntu/Debian）

直接apt安装，简单粗暴：

sudo apt update
sudo apt install gcc-arm-linux-gnueabihf binutils-arm-linux-gnueabihf

装完验证一下：

arm-linux-gnueabihf-gcc --version
arm-linux-gnueabihf-objdump --version

能看到版本号，说明工具链就绪了。

3.2 QEMU模拟器配置

没有真机怎么办？QEMU就是我们的救星。它能模拟完整的ARM系统，让我们在本地跑Shellcode。

3.2.1 安装QEMU用户态模式

我们只需要用户态模拟，不需要模拟整个操作系统。这样启动快，调试也方便。

sudo apt install qemu-user qemu-user-static

装好后，试试能不能跑一个简单的ARM程序：

arm-linux-gnueabihf-gcc -o test_arm test.c -static
qemu-arm ./test_arm

如果输出正常，说明QEMU能正确解释ARM指令了。

3.2.2 配置QEMU与GDB的通信

调试Shellcode时，我们需要QEMU暴露一个GDB调试端口。启动参数如下：

qemu-arm -g 1234 ./test_arm

-g 1234表示QEMU在1234端口等待GDB连接。这时候程序会暂停，直到GDB连上来。

3.3 GDB调试器连接

环境搭好了，怎么调试？我一般用gdb-multiarch，它支持多种架构，不用来回切换GDB版本。

3.3.1 安装多架构GDB

sudo apt install gdb-multiarch

3.3.2 连接QEMU并调试

先启动QEMU（带调试端口）：

qemu-arm -g 1234 ./test_arm

再开一个终端，启动GDB并连接：

gdb-multiarch -q
(gdb) set architecture arm
(gdb) target remote localhost:1234
(gdb) file ./test_arm

连接成功后，你就可以像调试本地程序一样操作了：

(gdb) b main
(gdb) c
(gdb) info registers
(gdb) si   # 单步执行一条指令

3.4 环境验证：跑一个最小Shellcode

环境搭好没？写个最简单的ARM Shellcode验证一下。这个Shellcode只做一件事：调用exit(0)。

; exit.s
.global _start
_start:
    mov r0, #0      ; 返回值0
    mov r7, #1      ; syscall number for exit
    svc #0          ; 触发系统调用

编译和运行：

arm-linux-gnueabihf-as -o exit.o exit.s
arm-linux-gnueabihf-ld -o exit exit.o
qemu-arm ./exit
echo $?   # 应该输出0

如果返回0，恭喜你，整个环境链路打通了。

3.5 本章知识结构图

下面这张图概括了ARM Shellcode开发环境的完整链路：

3.6 常见问题与避坑

• QEMU报"Unable to reserve page"：通常是权限问题，试试sudo qemu-arm ./test，或者调整/proc/sys/vm/mmap_min_addr。
• GDB连不上QEMU：检查端口是否被占用，或者QEMU启动时有没有加-g参数。我遇到过好几次开了两个QEMU实例，端口冲突。
• 反汇编结果乱码：确认GDB里执行了set architecture arm。如果还不行，试试set endian little（ARM默认小端）。
• 静态链接还是动态链接？ 写Shellcode建议用-static，避免依赖目标系统上的动态库。你想想看，目标系统可能连libc都没有。