Question

我试图修改strace来捕获文件open syscall并更改实际打开的文件。例如，用户尝试：打开（OUT，＆＃34;＆gt; input.txt＆＃34;），但真正打开的文件是＆＃34; input.txt.version1＆＃34;。

通过使用ptrace（PTRACE_POKEDATA，pid，addr，laddr），当新名称的长度与旧名称的长度完全相同时，我取得了一些成功。我在open.c中拦截open调用并在util.c中修改umoven来戳而不是peek来替换字符。

但是，当新文件名更长时，这会失败，因为它可能会超出原始文件名数组的长度。我真正需要做的是用指向我自己的字符串的新指针替换指向char数组的指针。

文件名在tcp-＆gt; u_arg [0]中，这是x86系统上的rdi寄存器。我尝试过以下各种变化而没有运气：

struct user_regs_struct      x86_64_r;
uint64_t *const x86_64_rdi_ptr = (uint64_t *) &x86_64_r.rdi;
ptrace(PTRACE_POKEDATA, tcp->pid,  x86_64_rdi_ptr, &newPath);

如何用任意长度的新路径替换文件名？仅使用ptrace而不是修改strace的答案也可以。 strace只是处理了很多其他问题。

Answer 1

不是ptrace，也不是strace，但您可以通过挂钩LD_PRELOAD功能与open一起完成。

编辑：根据@JonathanLeffler评论，我试图修复钩子函数原型，处理模式参数（如果给出）我不是100％肯定这将永远有效，但它应该给出这个想法如何做到这一点。

hook.c

#define _GNU_SOURCE
#include <dlfcn.h>
#include <stdio.h>
#include <string.h>
#include <sys/types.h> //mode_t
#include <stdarg.h>  //va_arg

typedef int (*pfn_open_t)(const char *pathname, int flags, mode_t mode);

int open(const char *pathname, int flags, ...)
{
    pfn_open_t o_open;
    va_list val;
    mode_t mode;
    o_open = (pfn_open_t)dlsym(RTLD_NEXT,"open");
    // Extract vararg (mode)
    va_start(val, flags);
    mode = va_arg(val, mode_t);
    va_end(val);
    if(strcmp(pathname, "origfile") == 0)
    {
         puts("opening otherfile\n");
         return o_open("otherfile", flags, mode);
    }
    else
    {
         printf("opening %s\n", pathname);
         return o_open(pathname,flags, mode);
    }
}

将代码编译为共享对象：

gcc -shared -fPIC  hook.c -o libhook.so -ldl

用钩子运行程序：

$ LD_PRELOAD=path/to/libhook.so myprogram

修改strace以捕获并替换打开的系统调用中的文件名

1 个答案: