Question

我试图在Linux上检测调试器是否附加到我的二进制文件。我找到了两个解决方案。更简单一点：

#include <stdio.h>
#include <sys/ptrace.h>

int main()
{
    if (ptrace(PTRACE_TRACEME, 0, 1, 0) == -1) 
    {
        printf("don't trace me !!\n");
        return 1;
    }
    // normal execution
    return 0;
}

另一个：

#include <sys/types.h>
#include <errno.h>
#include <signal.h>
#include <stdlib.h>
#include <unistd.h>
#include <sys/ptrace.h>
#include <sys/wait.h>

int spc_detect_ptrace(void) {
  int   status, waitrc;
  pid_t child, parent;

  parent = getpid();
  if (!(child = fork())) {
    /* this is the child process */
    if (ptrace(PT_ATTACH, parent, 0, 0)) exit(1);
    do {
      waitrc = waitpid(parent, &status, 0);
    } while (waitrc == -1 && errno == EINTR);
    ptrace(PT_DETACH, parent, (caddr_t)1, SIGCONT);
    exit(0);
  }

  if (child == -1) return -1;

  do {
    waitrc = waitpid(child, &status, 0);
  } while (waitrc == -1 && errno == EINTR);

  return WEXITSTATUS(status);
}

第二种方法比第一种方法更简单吗？如果是，为什么？

Answer 1

与ptrace（）方法一样，也可以向SIGTRAP（ How to detect if the current process is being run by GDB?）

我想说您的第一种方法更好（并且比SIGTRAP更好），因为分叉对于这种检查而言效率极低，并且在许多情况下（例如多线程代码），分叉是不可取的。

使用ptrace检测调试器

1 个答案: