内存映射文件路径起始地址段提取方法

时间：2026-07-15 18:49

针对进程内存映射文件 proc [pid] maps中同一文件对应多个不连续地址段的问题，提出增强型正则表达式，精确匹配并提取每个文件路径首次出现的起始地址段，确保地址格式合法、结构完整，支持符号解析与内存分析。

从事逆向分析、动态调试或自动化内存取证的技术人员，大多都与 /proc/[pid]/maps 打过交道。该文件完整记录了进程的内存映射布局，信息量极为丰富，但真正的挑战在于——同一个共享库或可执行文件，往往会被映射到多个不连续的内存区域。例如，代码段通常为 r-xp，数据段为 rw-p，只读数据段为 r--p，等等。

核心问题在于：若希望为每个唯一文件路径提取其首次出现的内存地址范围（即该文件在映射列表中第一次被加载时的起始地址段），单纯依赖匹配行尾路径的方式是行不通的。必须确保精准匹配该路径的首条记录，同时保证地址格式合法、结构完整。否则，获取到一堆杂乱无序的地址段，后续分析工作将无法正常开展。

下面直接给出增强型正则表达式（兼容 PCRE、Python、JavaScript 等主流引擎）：

^([a-f0-9]{8}-[a-f0-9]{8})s+[rwxp-]{4}s+[a-f0-9]{8}s+[a-f0-9]{2}:[a-f0-9]{2}s+d+s+(/(?:bin|lib|usr/lib|etc|sbin|opt/.*|var/lib)/[^[:space:]]+)$

该正则表达式虽稍显冗长，但每个组成部分都有其明确的用途。逐一拆解来看：

^([a-f0-9]{8}-[a-f0-9]{8})：捕获由8位十六进制起始地址 + 短横线 + 8位结束地址组成的字段（例如 b3f35000-b3f36000）。严格限定长度，可有效避免误匹配长哈希值或 UUID。
s+[rwxp-]{4}：匹配权限字段（如 r-xp），支持任意顺序但要求恰好为4个字符。
s+[a-f0-9]{8}：匹配 offset 字段，同样为8位十六进制格式。
s+[a-f0-9]{2}:[a-f0-9]{2}：匹配 device 字段（主次设备号）。
s+d+：匹配 inode 编号。
s+(/(?:...)S+)：路径部分使用 S+ 替代模糊的 [^.]*，能更稳健地处理包含多级点号的文件名（例如 libcrashlog.so.0.0.0），同时限定路径以 / 开头且不含空白字符。

在实际使用中，Python 的写法非常直观：

import re

text = """
7d60f000-7d67b000 r-xp 00000000 fb:00 11         /bin/busybox.nosuid
7d68b000-7d68c000 r--p 0006c000 fb:00 11         /bin/busybox.nosuid
...
b3f47000-b3f5d000 r-xp 00000000 fb:00 1628       /lib/ld-2.31.so
"""

pattern = r'^([a-f0-9]{8}-[a-f0-9]{8})s+[rwxp-]{4}s+[a-f0-9]{8}s+[a-f0-9]{2}:[a-f0-9]{2}s+d+s+(/(?:bin|lib|usr/lib|etc|sbin|opt|var/lib)/S+)$'

matches = {}
for line in text.splitlines():
    m = re.match(pattern, line.strip())
    if m:
        addr, path = m.groups()
        # 仅保留每个路径的首次匹配（自动去重）
        if path not in matches:
            matches[path] = addr

for path, addr in matches.items():
    print(f"{path} → {addr}")

执行完毕后，输出结果即为每个文件路径对应的首次内存地址范围，简洁且精确。

使用过程中值得关注的几个要点：

该正则表达式默认是区分大小写的，但实际 /proc/maps 中的地址均为小写。建议添加 re.IGNORECASE 标志，以增强兼容性。
路径白名单 (?:bin|lib|usr/lib|...) 可根据目标系统的实际情况灵活扩展，例如加入 home/username/.local/lib。这样做的目的是避免匹配到 [heap]、[stack]、[vdso] 等伪文件条目。
如果处理的是 64 位系统，地址为 16 位十六进制格式（例如 7f8b3a123000-7f8b3a124000），请将 {8} 改为 {16}，并启用 re.ASCII 模式。
不要依赖行序稳定性：/proc/[pid]/maps 的顺序由内核决定，但同一文件的首次映射通常为其可执行段（r-xp）。因此，该正则表达式优先匹配 r-xp 行，也可在权限组后添加 (?=r-xp) 正向先行断言以进一步强化匹配逻辑。