Question

程序步骤：

通过fork创建子进程并在其中调用execv
Ptrace附加到子进程
使用ptrace进行操作
与孩子分离
执行gdb -p child_pid

但是，当gdb启动时，它将写出已经跟踪了子进程。如何与被跟踪的进程分离，以便可以被另一个进程跟踪？

执行上述操作的代码

#include <stdio.h>
#include <stdlib.h>
#include <unistd.h>
#include <sys/wait.h>
#include <sys/signal.h>
#include <sys/user.h>
#include <sys/ptrace.h>

#define Error(msg) do { perror(msg); exit(0); } while(0)
#define PTRACE_E(req, pid, addr, data) \
    do { \
        if(ptrace(req, pid, addr, data) < 0) { \
            perror(#req); \
            exit(0); \
        } \
    } while(0)
#define BUF_SIZE 16

int main(int argc, char **argv) {
    pid_t pid;
    struct user_regs_struct regs;
    int status;
    char buf[BUF_SIZE];

    if (argc < 2) {
        fprintf(stderr, "Usage: %s <executable> [ARGS]\n", argv[0]);
        exit(0);
    }

    pid = fork();
    if(pid < 0) {
        Error("fork");
    } else if(pid == 0) {
        if(execv(argv[1], &argv[1]) < 0)
            Error("execv");
    }

    PTRACE_E(PTRACE_ATTACH, pid, NULL, NULL);

    while(wait(&status) && !WIFEXITED(status)) {
        PTRACE_E(PTRACE_GETREGS, pid, NULL, &regs);

        if(regs.orig_eax == 26 && regs.ebx == PTRACE_TRACEME) {
            regs.eax = 0;

            PTRACE_E(PTRACE_SETREGS, pid, NULL, &regs);
            break;
        }

        PTRACE_E(PTRACE_SYSCALL, pid, NULL, NULL);
    }

    ptrace(PTRACE_DETACH, pid, NULL, NULL);

    snprintf(buf, BUF_SIZE, "%d", pid);
    execl("/usr/bin/gdb", "/usr/bin/gdb", "-p", buf, NULL);
}

Answer 1

这里要注意的重要一点是，PTRACE_SYSCALL请求将使目标进程在进入或退出系统调用时停止。 manual page说

Syscall-enter-stop和syscall-exit-stop与示踪剂相互之间。跟踪器需要跟踪 ptrace-stops的顺序，以便不误解syscall-enter-stop 作为syscall-exit-stop或反之亦然。

如果使用ptrace更改目标的寄存器值，则将更改内核将看到的系统调用参数或用户进程将看到的返回值，这取决于您是否在syscall-enter-停止或syscall-exit-stop。

您的代码在syscall-enter-stop上运行：

if (regs.orig_eax == 26 && regs.ebx == PTRACE_TRACEME) { regs.eax = 0; PTRACE_E(PTRACE_SETREGS, pid, NULL, &regs); break; }

它将eax（在进入系统调用时为-38）更改为0。由于您的意图是将目标的PTRACE_TRACEME请求的返回码从-1更改为0，因此您需要再执行一次PTRACE_SYSCALL时间，以便目标在运行上面的代码之前在syscall-exit-stop处停止。

当前，您的代码在PTRACE_SETREGS请求之后跳出循环，然后执行

ptrace(PTRACE_DETACH, pid, NULL, NULL);

，它将与目标分离并继续执行。（现在是前）目标完成了它的PTRACE_TRACEME请求，该请求成功，使它的父级再次成为跟踪器。

execl("/usr/bin/gdb", "/usr/bin/gdb", "-p", buf, NULL);

Gdb将发出警告消息，因为出乎意料的是，它已经是目标的跟踪器。

如何与流程分离，以便可以被另一个流程跟踪？

1 个答案: