一篇学会Linux ptrace 的践行
|
ptrace 是 Linux 内核提供的非常强大的系统调用，通过 ptrace 可以实现进程的单步调试和收集系统调用情况。比如 strace 和 gdb 都是基于 ptrace 实现的，strace 可以显示进程调用了哪些系统调用，gdb 可以实现对进程的调试。本文介绍这些工具的底层 ptrace 是如何实现的。这里选用了 1.2.13 的早期版本，原理是类似的，新版内核代码过多，没必要陷入过多细节中。 1 进程调试 ptrace 系统调用的实现中包含了很多功能，首先来看一下单步调试的实现。通过 ptrace 实现单步调试的方式有两种。 1. 父进程执行 fork 创建一个子进程，通过 ptrace 设置子进程为 PF_PTRACED 标记，然后执行 execve 加载被调试的程序。 2. 通过 ptrace attach 到指定的 pid 完成对进程的调试(控制)。 首先看一下第一种的实现。 1.1 方式1 pid_t pid = fork();// 子进程if (pid == 0) { ptrace(PTRACE_TRACEME,0,NULL,NULL); // 加载被调试的程序 execve(argv[1], NULL, NULL); } 执行 fork 创建子进程后，通过 ptrace 的 PTRACE_TRACEME 指示操作系统设置子进程为被调试(设置 PF_PTRACED 标记)。来看一下这一步操作系统做了什么事情。 asmlinkage int sys_ptrace(long request, long pid, long addr, long data){ if (request == PTRACE_TRACEME) { current->flags |= PF_PTRACED; return 0; } } 这一步非常简单，接着看 execve 加载程序到内存执行时又是如何处理的。 int do_execve(char * filename, char ** argv, char ** envp, struct pt_regs * regs) { // 加载程序 for (fmt = formats ; fmt ; fmt = fmt->next) { int (*fn)(struct linux_binprm *, struct pt_regs *) = fmt->load_binary; retval = fn(&bprm, regs); } } do_execve 逻辑非常复杂，不过我们只关注需要的就好。do_execve 通过钩子函数加载程序，我们看看 formats 是什么。 struct linux_binfmt { struct linux_binfmt * next; int *use_count; int (*load_binary)(struct linux_binprm *, struct pt_regs * regs); int (*load_shlib)(int fd); int (*core_dump)(long signr, struct pt_regs * regs); }; static struct linux_binfmt *formats = &aout_format;int register_binfmt(struct linux_binfmt * fmt){ struct linux_binfmt ** tmp = &formats; if (!fmt) return -EINVAL; if (fmt->next) return -EBUSY; while (*tmp) { if (fmt == *tmp) return -EBUSY; tmp = &(*tmp)->next; } *tmp = fmt; return 0; } 可以看到 formats 是一个链表。可以通过 register_binfmt 函数注册节点。那么谁调用了这个函数呢? struct linux_binfmt elf_format = { NULL, NULL, load_elf_binary, load_elf_library, NULL};int init_module(void) { register_binfmt(&elf_format); return 0; } 所以最终调用了 load_elf_binary 函数加载程序。同样我们只关注相关的逻辑。 if (current->flags & PF_PTRACED) send_sig(SIGTRAP, current, 0); load_elf_binary 中会判断如果进程设置了 PF_PTRACED 标记，那么会给当前进程发送一个 SIGTRAP 信号。接着看信号处理函数的相关逻辑。 if ((current->flags & PF_PTRACED) && signr != SIGKILL) { current->exit_code = signr; // 修改当前进程（被调试的进程）为暂停状态 current->state = TASK_STOPPED; // 通知父进程 notify_parent(current); // 调度其他进程执行 schedule(); } 所以程序被加载到内存后，根本没有机会执行就直接被修改为暂停状态了，接下来看看 notify_parent 通知父进程干什么。 void notify_parent(struct task_struct * tsk){ // 给父进程发送 SIGCHLD 信号 if (tsk->p_pptr == task[1]) tsk->exit_signal = SIGCHLD; send_sig(tsk->exit_signal, tsk->p_pptr, 1); wake_up_interruptible(&tsk->p_pptr->wait_chldexit); } 父进程收到信号后，可以通过 sys_ptrace 控制子进程，sys_ptrace 还提供了很多功能，比如读取子进程的数据。 （编辑：银川站长网） 【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容! |
