首页 > 系统 > Linux > 正文

一篇学会Linux ptrace 的实践

2022-07-09 12:57:42
字体:
来源:转载
供稿:网友
ptrace 是 Linux 内核提供的非常强大的系统调用,通过 ptrace 可以实现进程的单步调试和收集系统调用情况。比如 strace 和 gdb 都是基于 ptrace 实现的,strace 可以显示进程调用了哪些系统调用,gdb 可以实现对进程的调试。本文介绍这些工具的底层 ptrace 是如何实现的。这里选用了 1.2.13 的早期版本,原理是类似的,新版内核代码过多,没必要陷入过多细节中。
 
1 进程调试
ptrace 系统调用的实现中包含了很多功能,首先来看一下单步调试的实现。通过 ptrace 实现单步调试的方式有两种。
 
1. 父进程执行 fork 创建一个子进程,通过 ptrace 设置子进程为 PF_PTRACED 标记,然后执行 execve 加载被调试的程序。
 
2. 通过 ptrace attach 到指定的 pid 完成对进程的调试(控制)。
 
首先看一下第一种的实现。
 
1.1 方式1
pid_t pid = fork();// 子进程if (pid == 0) {
    ptrace(PTRACE_TRACEME,0,NULL,NULL);
    // 加载被调试的程序
    execve(argv[1], NULL, NULL);
}
执行 fork 创建子进程后,通过 ptrace 的 PTRACE_TRACEME 指示操作系统设置子进程为被调试(设置 PF_PTRACED 标记)。来看一下这一步操作系统做了什么事情。
 
asmlinkage int sys_ptrace(long request, long pid, long addr, long data){
    if (request == PTRACE_TRACEME) {
        current->flags |= PF_PTRACED;
        return 0;
    }
}
这一步非常简单,接着看 execve 加载程序到内存执行时又是如何处理的。
 
int do_execve(char * filename, char ** argv, char ** envp, struct pt_regs * regs) {
    // 加载程序
    for (fmt = formats ; fmt ; fmt = fmt->next) {
        int (*fn)(struct linux_binprm *, struct pt_regs *) = fmt->load_binary;
        retval = fn(&bprm, regs);
    }
}
do_execve 逻辑非常复杂,不过我们只关注需要的就好。do_execve 通过钩子函数加载程序,我们看看 formats 是什么。
 
struct linux_binfmt {
    struct linux_binfmt * next;
    int *use_count;
    int (*load_binary)(struct linux_binprm *, struct  pt_regs * regs);
    int (*load_shlib)(int fd);
    int (*core_dump)(long signr, struct pt_regs * regs);
};
 
static struct linux_binfmt *formats = &aout_format;int register_binfmt(struct linux_binfmt * fmt){
    struct linux_binfmt ** tmp = &formats;
 
    if (!fmt)
        return -EINVAL;
    if (fmt->next)
        return -EBUSY;
    while (*tmp) {
        if (fmt == *tmp)
            return -EBUSY;
        tmp = &(*tmp)->next;
    }
    *tmp = fmt;
    return 0;    
}
可以看到 formats 是一个链表。可以通过 register_binfmt 函数注册节点。那么谁调用了这个函数呢?
 
struct linux_binfmt elf_format = {
 
NULL, NULL, load_elf_binary, load_elf_library, NULL};int init_module(void) {
 
register_binfmt(&elf_format);
 
return 0;
 
}
所以最终调用了 load_elf_binary 函数加载程序。同样我们只关注相关的逻辑。
 
if (current->flags & PF_PTRACED)
        send_sig(SIGTRAP, current, 0);
load_elf_binary 中会判断如果进程设置了 PF_PTRACED 标记,那么会给当前进程发送一个 SIGTRAP 信号。接着看信号处理函数的相关逻辑。
 
if ((current->flags & PF_PTRACED) && signr != SIGKILL) {
    current->exit_code = signr;
    // 修改当前进程(被调试的进程)为暂停状态
    current->state = TASK_STOPPED;
    // 通知父进程
    notify_parent(current);
    // 调度其他进程执行
    schedule();
}
所以程序被加载到内存后,根本没有机会执行就直接被修改为暂停状态了,接下来看看 notify_parent 通知父进程干什么。
 
void notify_parent(struct task_struct * tsk){    
    // 给父进程发送 SIGCHLD 信号
    if (tsk->p_pptr == task[1])
        tsk->exit_signal = SIGCHLD;
    send_sig(tsk->exit_signal, tsk->p_pptr, 1);
    wake_up_interruptible(&tsk->p_pptr->wait_chldexit);
}
父进程收到信号后,可以通过 sys_ptrace 控制子进程,sys_ptrace 还提供了很多功能,比如读取子进程的数据。

(编辑:错新网)

发表评论 共有条评论
用户名: 密码:
验证码: 匿名发表