玩转ptrace(转)

下面是转帖的内容，写的很详细。但是不同的linux发行版中头文件的路径和名称并不相同。如在某些发行版中<linux/user.h>就不存在，其中定义的变量出现在<asm/ptrace-abi.h>和<sys/user.h>中。

==================================================================================================

by Pradeep Padala

Created 2002-11-01 02:00

翻译: Magic.D E-mail: [email protected]

译者序：在开发Hust Online Judge的过程中，查阅了不少资料，关于调试器技术的资料在网上是很少，即便是UNIX编程巨著《UNIX环境高级编程》中，相关内容也不多，直到我在http://www.linuxjournal.com上找到这篇文章，如获至宝，特翻译之，作为鄙人翻译技术文档的第一次尝试，必定会有不少蹩脚之处，各位就将就一下吧，欢迎大力拍砖。

你想过怎么实现对系统调用的拦截吗？你尝试过通过改变系统调用的参数来愚弄你的系统kernel吗？你想过调试器是如何使运行中的进程暂停并且控制它吗？

你可能会开始考虑怎么使用复杂的kernel编程来达到目的，那么，你错了。实际上Linux提供了一种优雅的机制来完成这些：ptrace系统函数。 ptrace提供了一种使父进程得以监视和控制其它进程的方式，它还能够改变子进程中的寄存器和内核映像，因而可以实现断点调试和系统调用的跟踪。

使用ptrace，你可以在用户层拦截和修改系统调用(sys call)

在这篇文章中，我们将学习如何拦截一个系统调用，然后修改它的参数。在本文的第二部分我们将学习更先进的技术：设置断点，插入代码到一个正在运行的程序中；我们将潜入到机器内部，偷窥和纂改进程的寄存器和数据段。

基本知识

操作系统提供了一种标准的服务来让程序员实现对底层硬件和服务的控制（比如文件系统），叫做系统调用(system calls)。当一个程序需要作系统调用的时候，它将相关参数放进系统调用相关的寄存器，然后调用软中断0x80，这个中断就像一个让程序得以接触到内核模式的窗口，程序将参数和系统调用号交给内核，内核来完成系统调用的执行。

在i386体系中(本文中所有的代码都是面向i386体系)，系统调用号将放入%eax,它的参数则依次放入%ebx, %ecx, %edx, %esi 和 %edi。 比如，在以下的调用

Write(2, “Hello”, 5)的汇编形式大概是这样的

[cpp] view plaincopy

  1. movl   $4, %eax
  2. movl   $2, %ebx
  3. movl   $hello, %ecx
  4. movl   $5, %edx
  5. int    $0x80

这里的$hello指向的是标准字符串”Hello”。

那么，ptrace会在什么时候出现呢？在执行系统调用之前，内核会先检查当前进程是否处于被“跟踪”(traced)的状态。如果是的话，内核暂停当前进程并将控制权交给跟踪进程，使跟踪进程得以察看或者修改被跟踪进程的寄存器。

让我们来看一个例子，演示这个跟踪程序的过程

[cpp] view plaincopy

  1. #include <sys/ptrace.h>
  2. #include <sys/types.h>
  3. #include <sys/wait.h>
  4. #include <unistd.h>
  5. #include <linux/user.h>   /* For constants
  6. ORIG_EAX etc */
  7. int main()
  8. {
  9. pid_t child;
  10. long orig_eax;
  11. child = fork();
  12. if(child == 0) {
  13. ptrace(PTRACE_TRACEME, 0, NULL, NULL);
  14. execl("/bin/ls", "ls", NULL);
  15. }
  16. else {
  17. wait(NULL);
  18. orig_eax = ptrace(PTRACE_PEEKUSER,
  19. child, 4 * ORIG_EAX,
  20. NULL);
  21. printf("The child made a "
  22. "system call %ld ", orig_eax);
  23. ptrace(PTRACE_CONT, child, NULL, NULL);
  24. }
  25. return 0;
  26. }

运行这个程序，将会在输出ls命令的结果的同时，输出:

The child made a system call 11

说明：11是execve的系统调用号，这是该程序调用的第一个系统调用。想知道系统调用号的详细内容，察看 /usr/include/asm/unistd.h。

在以上的示例中，父进程fork出了一个子进程，然后跟踪它。在调用exec函数之前，子进程用PTRACE_TRACEME作为第一个参数调用了ptrace函数，它告诉内核：让别人跟踪我吧！然后，在子进程调用了execve()之后，它将控制权交还给父进程。当时父进程正使用wait()函数来等待来自内核的通知，现在它得到了通知，于是它可以开始察看子进程都作了些什么，比如看看寄存器的值之类。

出现系统调用之后，内核会将eax中的值（此时存的是系统调用号）保存起来，我们可以使用PTRACE_PEEKUSER作为ptrace的第一个参数来读到这个值。

我们察看完系统调用的信息后，可以使用PTRACE_CONT作为ptrace的第一个参数，调用ptrace使子进程继续系统调用的过程。

ptrace函数的参数

Ptrace有四个参数

long ptrace(enum __ptrace_request request,pid_t pid,void *addr,void *data);

第一个参数决定了ptrace的行为与其它参数的使用方法，可取的值有:

PTRACE_ME

PTRACE_PEEKTEXT

PTRACE_PEEKDATA

PTRACE_PEEKUSER

PTRACE_POKETEXT

PTRACE_POKEDATA

PTRACE_POKEUSER

PTRACE_GETREGS

PTRACE_GETFPREGS,

PTRACE_SETREGS

PTRACE_SETFPREGS

PTRACE_CONT

PTRACE_SYSCALL,

PTRACE_SINGLESTEP

PTRACE_DETACH

在下文中将对这些常量的用法进行说明。

读取系统调用的参数

通过将PTRACE_PEEKUSER作为ptrace 的第一个参数进行调用，可以取得与子进程相关的寄存器值。

先看下面这个例子

[cpp] view plaincopy

  1. #include <sys/ptrace.h>
  2. #include <sys/types.h>
  3. #include <sys/wait.h>
  4. #include <unistd.h>
  5. #include <linux/user.h>
  6. #include <sys/syscall.h>   /* For SYS_write etc */
  7. int main()
  8. {
  9. pid_t child;
  10. long orig_eax, eax;
  11. long params[3];
  12. int status;
  13. int insyscall = 0;
  14. child = fork();
  15. if(child == 0) {
  16. ptrace(PTRACE_TRACEME, 0, NULL, NULL);
  17. execl("/bin/ls", "ls", NULL);
  18. }
  19. else {
  20. while(1) {
  21. wait(&status);
  22. if(WIFEXITED(status))
  23. break;
  24. orig_eax = ptrace(PTRACE_PEEKUSER,
  25. child, 4 * ORIG_EAX, NULL);
  26. if(orig_eax == SYS_write) {
  27. if(insyscall == 0) {
  28. /* Syscall entry */
  29. insyscall = 1;
  30. params[0] = ptrace(PTRACE_PEEKUSER,
  31. child, 4 * EBX,
  32. NULL);
  33. params[1] = ptrace(PTRACE_PEEKUSER,
  34. child, 4 * ECX,
  35. NULL);
  36. params[2] = ptrace(PTRACE_PEEKUSER,
  37. child, 4 * EDX,
  38. NULL);
  39. printf("Write called with "
  40. "%ld, %ld, %ld ",
  41. params[0], params[1],
  42. params[2]);
  43. }
  44. else { /* Syscall exit */
  45. eax = ptrace(PTRACE_PEEKUSER,
  46. child, 4 * EAX, NULL);
  47. printf("Write returned "
  48. "with %ld ", eax);
  49. insyscall = 0;
  50. }
  51. }
  52. ptrace(PTRACE_SYSCALL,
  53. child, NULL, NULL);
  54. }
  55. }
  56. return 0;
  57. }

这个程序的输出是这样的

[email protected]:~/ptrace > ls

a.out        dummy.s      ptrace.txt  
libgpm.html  registers.c  syscallparams.c
dummy        ptrace.html  simple.c
[email protected]:~/ptrace > ./a.out
Write called with 1, 1075154944, 48
a.out        dummy.s      ptrace.txt
Write returned with 48
Write called with 1, 1075154944, 59
libgpm.html  registers.c  syscallparams.c
Write returned with 59
Write called with 1, 1075154944, 30
dummy        ptrace.html  simple.c
Write returned with 30

以上的例子中我们跟踪了write系统调用，而ls命令的执行将产生三个write系统调用。使用PTRACE_SYSCALL作为ptrace的第一个参数，使内核在子进程做出系统调用或者准备退出的时候暂停它。这种行为与使用PTRACE_CONT，然后在下一个系统调用/进程退出时暂停它是等价的。

在前一个例子中，我们用PTRACE_PEEKUSER来察看write系统调用的参数。系统调用的返回值会被放入%eax。

wait函数使用status变量来检查子进程是否已退出。它是用来判断子进程是被ptrace暂停掉还是已经运行结束并退出。有一组宏可以通过status的值来判断进程的状态，比如WIFEXITED等，详情可以察看wait(2) man。

如果你想在系统调用或者进程终止的时候读取它的寄存器，使用前面那个例子的方法是可以的，但是这是笨拙的方法。使用PRACE_GETREGS作为ptrace的第一个参数来调用，可以只需一次函数调用就取得所有的相关寄存器值。

获得寄存器值得例子如下：

[cpp] view plaincopy

  1. #include <sys/ptrace.h>
  2. #include <sys/types.h>
  3. #include <sys/wait.h>
  4. #include <unistd.h>
  5. #include <linux/user.h>
  6. #include <sys/syscall.h>
  7. int main()
  8. {
  9. pid_t child;
  10. long orig_eax, eax;
  11. long params[3];
  12. int status;
  13. int insyscall = 0;
  14. struct user_regs_struct regs;
  15. child = fork();
  16. if(child == 0) {
  17. ptrace(PTRACE_TRACEME, 0, NULL, NULL);
  18. execl("/bin/ls", "ls", NULL);
  19. }
  20. else {
  21. while(1) {
  22. wait(&status);
  23. if(WIFEXITED(status))
  24. break;
  25. orig_eax = ptrace(PTRACE_PEEKUSER,
  26. child, 4 * ORIG_EAX,
  27. NULL);
  28. if(orig_eax == SYS_write) {
  29. if(insyscall == 0) {
  30. /* Syscall entry */
  31. insyscall = 1;
  32. ptrace(PTRACE_GETREGS, child,
  33. NULL, &regs);
  34. printf("Write called with "
  35. "%ld, %ld, %ld ",
  36. regs.ebx, regs.ecx,
  37. regs.edx);
  38. }
  39. else { /* Syscall exit */
  40. eax = ptrace(PTRACE_PEEKUSER,
  41. child, 4 * EAX,
  42. NULL);
  43. printf("Write returned "
  44. "with %ld ", eax);
  45. insyscall = 0;
  46. }
  47. }
  48. ptrace(PTRACE_SYSCALL, child,
  49. NULL, NULL);
  50. }
  51. }
  52. return 0;
  53. }

这段代码与前面的例子是比较相似的，不同的是它使用了PTRACE_GETREGS。 其中的user_regs_struct结构是在<linux/user.h>中定义的。

来点好玩的

现在该做点有意思的事情了，我们将要把传给write系统调用的字符串给反转。

[cpp] view plaincopy

  1. #include <sys/ptrace.h>
  2. #include <sys/types.h>
  3. #include <sys/wait.h>
  4. #include <unistd.h>
  5. #include <linux/user.h>
  6. #include <sys/syscall.h>
  7. const int long_size = sizeof(long);
  8. void reverse(char *str)
  9. {
  10. int i, j;
  11. char temp;
  12. for(i = 0, j = strlen(str) - 2;
  13. i <= j; ++i, --j) {
  14. temp = str[i];
  15. str[i] = str[j];
  16. str[j] = temp;
  17. }
  18. }
  19. void getdata(pid_t child, long addr,
  20. char *str, int len)
  21. {
  22. char *laddr;
  23. int i, j;
  24. union u {
  25. long val;
  26. char chars[long_size];
  27. }data;
  28. i = 0;
  29. j = len / long_size;
  30. laddr = str;
  31. while(i < j) {
  32. data.val = ptrace(PTRACE_PEEKDATA,
  33. child, addr + i * 4,
  34. NULL);
  35. memcpy(laddr, data.chars, long_size);
  36. ++i;
  37. laddr += long_size;
  38. }
  39. j = len % long_size;
  40. if(j != 0) {
  41. data.val = ptrace(PTRACE_PEEKDATA,
  42. child, addr + i * 4,
  43. NULL);
  44. memcpy(laddr, data.chars, j);
  45. }
  46. str[len] = ‘‘;
  47. }
  48. void putdata(pid_t child, long addr,
  49. char *str, int len)
  50. {
  51. char *laddr;
  52. int i, j;
  53. union u {
  54. long val;
  55. char chars[long_size];
  56. }data;
  57. i = 0;
  58. j = len / long_size;
  59. laddr = str;
  60. while(i < j) {
  61. memcpy(data.chars, laddr, long_size);
  62. ptrace(PTRACE_POKEDATA, child,
  63. addr + i * 4, data.val);
  64. ++i;
  65. laddr += long_size;
  66. }
  67. j = len % long_size;
  68. if(j != 0) {
  69. memcpy(data.chars, laddr, j);
  70. ptrace(PTRACE_POKEDATA, child,
  71. addr + i * 4, data.val);
  72. }
  73. }
  74. int main()
  75. {
  76. pid_t child;
  77. child = fork();
  78. if(child == 0) {
  79. ptrace(PTRACE_TRACEME, 0, NULL, NULL);
  80. execl("/bin/ls", "ls", NULL);
  81. }
  82. else {
  83. long orig_eax;
  84. long params[3];
  85. int status;
  86. char *str, *laddr;
  87. int toggle = 0;
  88. while(1) {
  89. wait(&status);
  90. if(WIFEXITED(status))
  91. break;
  92. orig_eax = ptrace(PTRACE_PEEKUSER,
  93. child, 4 * ORIG_EAX,
  94. NULL);
  95. if(orig_eax == SYS_write) {
  96. if(toggle == 0) {
  97. toggle = 1;
  98. params[0] = ptrace(PTRACE_PEEKUSER,
  99. child, 4 * EBX,
  100. NULL);
  101. params[1] = ptrace(PTRACE_PEEKUSER,
  102. child, 4 * ECX,
  103. NULL);
  104. params[2] = ptrace(PTRACE_PEEKUSER,
  105. child, 4 * EDX,
  106. NULL);
  107. str = (char *)calloc((params[2]+1)
  108. * sizeof(char));
  109. getdata(child, params[1], str,
  110. params[2]);
  111. reverse(str);
  112. putdata(child, params[1], str,
  113. params[2]);
  114. }
  115. else {
  116. toggle = 0;
  117. }
  118. }
  119. ptrace(PTRACE_SYSCALL, child, NULL, NULL);
  120. }
  121. }
  122. return 0;
  123. }

输出是这样的：

[email protected]:~/ptrace > ls
a.out        dummy.s      ptrace.txt
libgpm.html  registers.c  syscallparams.c
dummy        ptrace.html  simple.c
[email protected]:~/ptrace > ./a.out
txt.ecartp      s.ymmud      tuo.a
c.sretsiger     lmth.mpgbil  c.llacys_egnahc
c.elpmis        lmth.ecartp  ymmud

这个例子中涵盖了前面讨论过的所有知识点，当然还有些新的内容。这里我们用PTRACE_POKEDATA作为第一个参数，以此来改变子进程中的变量值。它以与PTRACE_PEEKDATA相似的方式工作，当然，它不只是偷窥变量的值了，它可以修改它们。

单步

ptrace提供了对子进程进行单步的功能。 ptrace(PTRACE_SINGLESTEP, …) 会使内核在子进程的每一条指令执行前先将其阻塞，然后将控制权交给父进程。下面的例子可以查出子进程当前将要执行的指令。为了便于理解，我用汇编写了这个受控程序，而不是让你为c的库函数到底会作那些系统调用而头痛。

以下是被控程序的代码 dummy1.s，使用gcc  –o dummy1 dummy1.s来编译

.data
hello:
    .string "hello world/n"
.globl  main
main:
    movl    $4, %eax
    movl    $2, %ebx
    movl    $hello, %ecx
    movl    $12, %edx
    int     $0x80
    movl    $1, %eax
    xorl    %ebx, %ebx
    int     $0x80
    ret

以下的程序则用来完成单步：

[cpp] view plaincopy

  1. #include <sys/ptrace.h>
  2. #include <sys/types.h>
  3. #include <sys/wait.h>
  4. #include <unistd.h>
  5. #include <linux/user.h>
  6. #include <sys/syscall.h>
  7. int main()
  8. {
  9. pid_t child;
  10. const int long_size = sizeof(long);
  11. child = fork();
  12. if(child == 0) {
  13. ptrace(PTRACE_TRACEME, 0, NULL, NULL);
  14. execl("./dummy1", "dummy1", NULL);
  15. }
  16. else {
  17. int status;
  18. union u {
  19. long val;
  20. char chars[long_size];
  21. }data;
  22. struct user_regs_struct regs;
  23. int start = 0;
  24. long ins;
  25. while(1) {
  26. wait(&status);
  27. if(WIFEXITED(status))
  28. break;
  29. ptrace(PTRACE_GETREGS,
  30. child, NULL, &regs);
  31. if(start == 1) {
  32. ins = ptrace(PTRACE_PEEKTEXT,
  33. child, regs.eip,
  34. NULL);
  35. printf("EIP: %lx Instruction "
  36. "executed: %lx ",
  37. regs.eip, ins);
  38. }
  39. if(regs.orig_eax == SYS_write) {
  40. start = 1;
  41. ptrace(PTRACE_SINGLESTEP, child,
  42. NULL, NULL);
  43. }
  44. else
  45. ptrace(PTRACE_SYSCALL, child,
  46. NULL, NULL);
  47. }
  48. }
  49. return 0;
  50. }

程序的输出是这样的：

你可能需要察看Intel的用户手册来了解这些指令代码的意思。

更复杂的单步，比如设置断点，则需要很仔细的设计和更复杂的代码才可以实现。

在第二部分，我们将会看到如何在程序中加入断点，以及将代码插入到已经在运行的程序中。

在第一部分中我们已经看到ptrace怎么获取子进程的系统调用以及改变系统调用的参数。在这篇文章中，我们将要研究如何在子进程中设置断点和往运行中的程序里插入代码。实际上调试器就是用这种方法来设置断点和执行调试句柄。与前面一样，这里的所有代码都是针对i386平台的。

附着在进程上

在第一部分钟，我们使用ptrace(PTRACE_TRACEME, …)来跟踪一个子进程，如果你只是想要看进程是怎么进行系统调用和跟踪程序的，这个做法是不错的。但如果你要对运行中的进程进行调试，则需要使用 ptrace(PTRACE_ATTACH, ….)

当 ptrace( PTRACE_ATTACH, …)在被调用的时候传入了子进程的pid时， 它大体是与ptrace(PTRACE_TRACEME, …)的行为相同的，它会向子进程发送SIGSTOP信号，于是我们可以察看和修改子进程，然后使用 ptrace( PTRACE_DETACH, …)来使子进程继续运行下去。

下面是调试程序的一个简单例子

[cpp] view plaincopy

  1. int main()
  2. {
  3. int i;
  4. for(i = 0;i < 10; ++i) {
  5. printf("My counter: %d ", i);
  6. sleep(2);
  7. }
  8. return 0;
  9. }

将上面的代码保存为dummy2.c。按下面的方法编译运行：

gcc -o dummy2 dummy2.c
./dummy2 &

现在我们可以用下面的代码来附着到dummy2上。

[cpp] view plaincopy

  1. #include <sys/ptrace.h>
  2. #include <sys/types.h>
  3. #include <sys/wait.h>
  4. #include <unistd.h>
  5. #include <linux/user.h>   /* For user_regs_struct
  6. etc. */
  7. int main(int argc, char *argv[])
  8. {
  9. pid_t traced_process;
  10. struct user_regs_struct regs;
  11. long ins;
  12. if(argc != 2) {
  13. printf("Usage: %s <pid to be traced> ",
  14. argv[0], argv[1]);
  15. exit(1);
  16. }
  17. traced_process = atoi(argv[1]);
  18. ptrace(PTRACE_ATTACH, traced_process,
  19. NULL, NULL);
  20. wait(NULL);
  21. ptrace(PTRACE_GETREGS, traced_process,
  22. NULL, &regs);
  23. ins = ptrace(PTRACE_PEEKTEXT, traced_process,
  24. regs.eip, NULL);
  25. printf("EIP: %lx Instruction executed: %lx ",
  26. regs.eip, ins);
  27. ptrace(PTRACE_DETACH, traced_process,
  28. NULL, NULL);
  29. return 0;
  30. }

上面的程序仅仅是附着在子进程上，等待它结束，并测量它的eip( 指令指针)然后释放子进程。

调试器是怎么设置断点的呢？通常是将当前将要执行的指令替换成trap指令，于是被调试的程序就会在这里停滞，这时调试器就可以察看被调试程序的信息了。被调试程序恢复运行以后调试器会把原指令再放回来。这里是一个例子：

[cpp] view plaincopy

  1. <span style="font-weight: normal;">#include <sys/ptrace.h>
  2. #include <sys/types.h>
  3. #include <sys/wait.h>
  4. #include <unistd.h>
  5. #include <linux/user.h>
  6. const int long_size = sizeof(long);
  7. void getdata(pid_t child, long addr,
  8. char *str, int len)
  9. {
  10. char *laddr;
  11. int i, j;
  12. union u {
  13. long val;
  14. char chars[long_size];
  15. }data;
  16. i = 0;
  17. j = len / long_size;
  18. laddr = str;
  19. while(i < j) {
  20. data.val = ptrace(PTRACE_PEEKDATA, child,
  21. addr + i * 4, NULL);
  22. memcpy(laddr, data.chars, long_size);
  23. ++i;
  24. laddr += long_size;
  25. }
  26. j = len % long_size;
  27. if(j != 0) {
  28. data.val = ptrace(PTRACE_PEEKDATA, child,
  29. addr + i * 4, NULL);
  30. memcpy(laddr, data.chars, j);
  31. }
  32. str[len] = ‘‘;
  33. }
  34. void putdata(pid_t child, long addr,
  35. char *str, int len)
  36. {
  37. char *laddr;
  38. int i, j;
  39. union u {
  40. long val;
  41. char chars[long_size];
  42. }data;
  43. i = 0;
  44. j = len / long_size;
  45. laddr = str;
  46. while(i < j) {
  47. memcpy(data.chars, laddr, long_size);
  48. ptrace(PTRACE_POKEDATA, child,
  49. addr + i * 4, data.val);
  50. ++i;
  51. laddr += long_size;
  52. }
  53. j = len % long_size;
  54. if(j != 0) {
  55. memcpy(data.chars, laddr, j);
  56. ptrace(PTRACE_POKEDATA, child,
  57. addr + i * 4, data.val);
  58. }
  59. }
  60. int main(int argc, char *argv[])
  61. {
  62. pid_t traced_process;
  63. struct user_regs_struct regs, newregs;
  64. long ins;
  65. /* int 0x80, int3 */
  66. char code[] = {0xcd,0x80,0xcc,0};
  67. char backup[4];
  68. if(argc != 2) {
  69. printf("Usage: %s <pid to be traced> ",
  70. argv[0], argv[1]);
  71. exit(1);
  72. }
  73. traced_process = atoi(argv[1]);
  74. ptrace(PTRACE_ATTACH, traced_process,
  75. NULL, NULL);
  76. wait(NULL);
  77. ptrace(PTRACE_GETREGS, traced_process,
  78. NULL, &regs);
  79. /* Copy instructions into a backup variable */
  80. getdata(traced_process, regs.eip, backup, 3);
  81. /* Put the breakpoint */
  82. putdata(traced_process, regs.eip, code, 3);
  83. /* Let the process continue and execute
  84. the int 3 instruction */
  85. ptrace(PTRACE_CONT, traced_process, NULL, NULL);
  86. wait(NULL);
  87. printf("The process stopped, putting back "
  88. "the original instructions ");
  89. printf("Press <enter> to continue ");
  90. getchar();
  91. putdata(traced_process, regs.eip, backup, 3);
  92. /* Setting the eip back to the original
  93. instruction to let the process continue */
  94. ptrace(PTRACE_SETREGS, traced_process,
  95. NULL, &regs);
  96. ptrace(PTRACE_DETACH, traced_process,
  97. NULL, NULL);
  98. return 0;
  99. }</span>

上面的程序将把三个byte的内容进行替换以执行trap指令，等被调试进程停滞以后，我们把原指令再替换回来并把eip修改为原来的值。下面的图中演示了指令的执行过程


1. 进程停滞后
2. 替换入trap指令



3.断点成功，控制权交给了调试器
4. 继续运行，将原指令替换回来并将eip复原

在了解了断点的机制以后，往运行中的程序里面添加指令也不再是难事了，下面的代码会使原程序多出一个”hello world”的输出

这时一个简单的”hello world”程序，当然为了我们的特殊需要作了点修改：

[cpp] view plaincopy

  1. void main()
  2. {
  3. __asm__("
  4. jmp forward
  5. backward:
  6. popl   %esi      # Get the address of
  7. # hello world string
  8. movl   $4, %eax  # Do write system call
  9. movl   $2, %ebx
  10. movl   %esi, %ecx
  11. movl   $12, %edx
  12. int    $0x80
  13. int3             # Breakpoint. Here the
  14. # program will stop and
  15. # give control back to
  16. # the parent
  17. forward:
  18. call   backward
  19. .string "Hello World/n""
  20. );
  21. }

使用 gcc –o hello hello.c来编译它。

在backward和forward之间的跳转是为了使程序能够找到”hello world” 字符串的地址。

使用GDB我们可以得到上面那段程序的机器码。启动GDB,然后对程序进行反汇编：

(gdb) disassemble main
Dump of assembler code for function main:
0x80483e0 <main>:       push   %ebp
0x80483e1 <main+1>:     mov    %esp,%ebp
0x80483e3 <main+3>:     jmp    0x80483fa <forward>
End of assembler dump.
(gdb) disassemble forward
Dump of assembler code for function forward:
0x80483fa <forward>:    call   0x80483e5 <backward>
0x80483ff <forward+5>:  dec    %eax
0x8048400 <forward+6>:  gs
0x8048401 <forward+7>:  insb   (%dx),%es:(%edi)
0x8048402 <forward+8>:  insb   (%dx),%es:(%edi)
0x8048403 <forward+9>:  outsl  %ds:(%esi),(%dx)
0x8048404 <forward+10>: and    %dl,0x6f(%edi)
0x8048407 <forward+13>: jb     0x8048475
0x8048409 <forward+15>: or     %fs:(%eax),%al
0x804840c <forward+18>: mov    %ebp,%esp
0x804840e <forward+20>: pop    %ebp
0x804840f <forward+21>: ret
End of assembler dump.
(gdb) disassemble backward
Dump of assembler code for function backward:
0x80483e5 <backward>:   pop    %esi
0x80483e6 <backward+1>: mov    $0x4,%eax
0x80483eb <backward+6>: mov    $0x2,%ebx
0x80483f0 <backward+11>:        mov    %esi,%ecx
0x80483f2 <backward+13>:        mov    $0xc,%edx
0x80483f7 <backward+18>:        int    $0x80
0x80483f9 <backward+20>:        int3
End of assembler dump.

我们需要使用从man+3到backward+20之间的字节码，总共41字节。使用GDB中的x命令来察看机器码。

(gdb) x/40bx main+3

<main+3>: eb 15 5e b8 04 00 00 00
<backward+6>: bb 02 00 00 00 89 f1 ba
<backward+14>: 0c 00 00 00 cd 80 cc
<forward+1>: e6 ff ff ff 48 65 6c 6c
<forward+9>: 6f 20 57 6f 72 6c 64 0a

已经有了我们想要执行的指令，还等什么呢？只管把它们根前面那个例子一样插入到被调试程序中去！

代码：

[cpp] view plaincopy

  1. int main(int argc, char *argv[])
  2. {
  3. pid_t traced_process;
  4. struct user_regs_struct regs, newregs;
  5. long ins;
  6. int len = 41;
  7. char insertcode[] =
  8. "/xeb/x15/x5e/xb8/x04/x00"
  9. "/x00/x00/xbb/x02/x00/x00/x00/x89/xf1/xba"
  10. "/x0c/x00/x00/x00/xcd/x80/xcc/xe8/xe6/xff"
  11. "/xff/xff/x48/x65/x6c/x6c/x6f/x20/x57/x6f"
  12. "/x72/x6c/x64/x0a/x00";
  13. char backup[len];
  14. if(argc != 2) {
  15. printf("Usage: %s <pid to be traced> ",
  16. argv[0], argv[1]);
  17. exit(1);
  18. }
  19. traced_process = atoi(argv[1]);
  20. ptrace(PTRACE_ATTACH, traced_process,
  21. NULL, NULL);
  22. wait(NULL);
  23. ptrace(PTRACE_GETREGS, traced_process,
  24. NULL, &regs);
  25. getdata(traced_process, regs.eip, backup, len);
  26. putdata(traced_process, regs.eip,
  27. insertcode, len);
  28. ptrace(PTRACE_SETREGS, traced_process,
  29. NULL, &regs);
  30. ptrace(PTRACE_CONT, traced_process,
  31. NULL, NULL);
  32. wait(NULL);
  33. printf("The process stopped, Putting back "
  34. "the original instructions ");
  35. putdata(traced_process, regs.eip, backup, len);
  36. ptrace(PTRACE_SETREGS, traced_process,
  37. NULL, &regs);
  38. printf("Letting it continue with "
  39. "original flow ");
  40. ptrace(PTRACE_DETACH, traced_process,
  41. NULL, NULL);
  42. return 0;
  43. }

在前面的例子中我们将代码直接插入到了正在执行的指令流中，然而，调试器可能会被这种行为弄糊涂，所以我们决定把指令插入到进程中的自由空间中去。通过察看/proc/pid/maps可以知道这个进程中自由空间的分布。接下来这个函数可以找到这个内存映射的起始点：

[cpp] view plaincopy

  1. <span style="font-weight: normal;">long freespaceaddr(pid_t pid)
  2. {
  3. FILE *fp;
  4. char filename[30];
  5. char line[85];
  6. long addr;
  7. char str[20];
  8. sprintf(filename, "/proc/%d/maps", pid);
  9. fp = fopen(filename, "r");
  10. if(fp == NULL)
  11. exit(1);
  12. while(fgets(line, 85, fp) != NULL) {
  13. sscanf(line, "%lx-%*lx %*s %*s %s", &addr,
  14. str, str, str, str);
  15. if(strcmp(str, "00:00") == 0)
  16. break;
  17. }
  18. fclose(fp);
  19. return addr;
  20. }</span>

在/proc/pid/maps中的每一行都对应了进程中一段内存区域。主函数的代码如下：

[cpp] view plaincopy

  1. int main(int argc, char *argv[])
  2. {
  3. pid_t traced_process;
  4. struct user_regs_struct oldregs, regs;
  5. long ins;
  6. int len = 41;
  7. char insertcode[] =
  8. "/xeb/x15/x5e/xb8/x04/x00"
  9. "/x00/x00/xbb/x02/x00/x00/x00/x89/xf1/xba"
  10. "/x0c/x00/x00/x00/xcd/x80/xcc/xe8/xe6/xff"
  11. "/xff/xff/x48/x65/x6c/x6c/x6f/x20/x57/x6f"
  12. "/x72/x6c/x64/x0a/x00";
  13. char backup[len];
  14. long addr;
  15. if(argc != 2) {
  16. printf("Usage: %s <pid to be traced> ",
  17. argv[0], argv[1]);
  18. exit(1);
  19. }
  20. traced_process = atoi(argv[1]);
  21. ptrace(PTRACE_ATTACH, traced_process,
  22. NULL, NULL);
  23. wait(NULL);
  24. ptrace(PTRACE_GETREGS, traced_process,
  25. NULL, &regs);
  26. addr = freespaceaddr(traced_process);
  27. getdata(traced_process, addr, backup, len);
  28. putdata(traced_process, addr, insertcode, len);
  29. memcpy(&oldregs, &regs, sizeof(regs));
  30. regs.eip = addr;
  31. ptrace(PTRACE_SETREGS, traced_process,
  32. NULL, &regs);
  33. ptrace(PTRACE_CONT, traced_process,
  34. NULL, NULL);
  35. wait(NULL);
  36. printf("The process stopped, Putting back "
  37. "the original instructions ");
  38. putdata(traced_process, addr, backup, len);
  39. ptrace(PTRACE_SETREGS, traced_process,
  40. NULL, &oldregs);
  41. printf("Letting it continue with "
  42. "original flow ");
  43. ptrace(PTRACE_DETACH, traced_process,
  44. NULL, NULL);
  45. return 0;
  46. }

那么，在使用ptrace的时候，内核里发生了声么呢？这里有一段简要的说明：

当一个进程调用了 ptrace( PTRACE_TRACEME, …)之后，内核为该进程设置了一个标记，注明该进程将被跟踪。内核中的相关原代码如下：

Source: arch/i386/kernel/ptrace.c
if (request == PTRACE_TRACEME) {
    /* are we already being traced? */
    if (current->ptrace & PT_PTRACED)
        goto out;
    /* set the ptrace bit in the process flags. */
    current->ptrace |= PT_PTRACED;
    ret = 0;
    goto out;
}

一次系统调用完成之后，内核察看那个标记，然后执行trace系统调用（如果这个进程正处于被跟踪状态的话）。其汇编的细节可以在 arh/i386/kernel/entry.S中找到。

现在让我们来看看这个sys_trace()函数（位于 arch/i386/kernel/ptrace.c ）。它停止子进程，然后发送一个信号给父进程，告诉它子进程已经停滞，这个信号会激活正处于等待状态的父进程，让父进程进行相关处理。父进程在完成相关操作以后就调用ptrace( PTRACE_CONT, …)或者 ptrace( PTRACE_SYSCALL, …), 这将唤醒子进程，内核此时所作的是调用一个叫wake_up_process() 的进程调度函数。其他的一些系统架构可能会通过发送SIGCHLD给子进程来达到这个目的。

小结：

ptrace函数可能会让人们觉得很奇特，因为它居然可以检测和修改一个运行中的程序。这种技术主要是在调试器和系统调用跟踪程序中使用。它使程序员可以在用户级别做更多有意思的事情。已经有过很多在用户级别下扩展操作系统得尝试，比如UFO,一个用户级别的文件系统扩展，它使用ptrace来实现一些安全机制。

作者:

Pradeep Padala,

[email protected]

http://www.cise.ufl.edu/~ppadala

时间： 2024-11-19 11:07:30

玩转ptrace(转)的相关文章

玩转ptrace (一)

转自http://www.cnblogs.com/catch/p/3476280.html [本文翻译自这里: http://www.linuxjournal.com/article/6100?page=0,0,作者:Pradeep Padaia] 你是否曾经想过怎样才能拦截系统调用?你是否曾经想过通过修改一下系统调用的参数来耍一把内核?你是否想过调试器是怎样把一个进程停下来,然后把控制权转移给你的?如果你以为这些都是通过复杂的内核编程来实现的,那你就错了,事实上,Linux 提供了一种很优雅的

【精品】北京赛车计划冠军定位玩法技巧

車車是一種投資,我們的目標是:細水長流,見好就收,不求日金千金,只求長期穩定!許多人賠本的原因:1. 資金不足,卻大把下注,跟到第4期不出,錢不夠了,心慌了.有人孤注一擲,衝到第5期中了,嚇的半死.有人不敢跟,第5期出號了,氣死, 然後再跟新計劃,沒錢了,郁悶死.這兩種做法都不對,既然是以投資的心態做事,就應該計劃好翻倍的本錢,做到99%的穩賺,狀況不對就要及時止損. 看著連續中,就是不敢跟,最後咬牙跟了,馬上挂了.于是開始哭,我運氣咋這麽差.不買就中,一買就挂.相反,有些人專門等挂,一挂就上,

java用循环方式实现和计算机玩猜拳的程序

用循环方式实现和计算机玩猜拳的程序 (设定胜出条件--输3次或赢3次即退出) /*int a=0;//统计赢得次数 int b=0;//统计输的次数 for(;;){ System.out.println("请输入1.石头:2.剪刀:3.布"); int user=sc.nextInt();//声明用户输入 int cp=(int)(Math.random()*3+1);//声明电脑随机 switch(user){ case 1: System.out.println("用户

几个linux终端的有趣玩法

1.sl 还可以给别人搞恶作剧: alias ls=sl 这样别人使用 ls 列出目录和文件的时候,却出现一个小火车,那滋味一定很酸爽哈哈哈哈! 2. fortune 这个命令会随机输出有趣的话,比如名言或笑话.同样需要先安装. apt-get install fortune (for aptitude based system) yum install fortune (for yum based system) [email protected]:~$ fortune There is no

MAC安裝《Genymotion Android模擬器》大玩Android APP (神魔之塔)

链接地址:http://www.minwt.com/mac/10083.html/comment-page-2 MAC» 智慧型裝罝» Android | 2014/02/12 Android是一個開放的平台,因此先前也分享了幾個Android的模擬器,但當初梅干使用Android模擬器,最主要的功能就是用來測試網頁,看網頁在Android手機上是否能正常運作,雖然說這些Android模擬器,也可透過Google Player安裝Android APP,在電腦中就可玩Android APP,但由

企业怎样玩转10亿网民？田溯宁有不一样的想法！

京东商城创始人刘强东在中美互联网论坛上表示,中国是世界上最大的互联网市场,未来十年中国网民将超10亿.阿里巴巴创始人马云谈到当前中国传统企业经营压力增大,但更应该看到新经济增长的势头不亚于美国,中国市场潜力巨大.联想CEO杨元庆则提到,现在是一个资源全球配置的时代. 面对一个拥有全球最大网民规模.员工数量动辄上万的企业规模.全球化资源配置以及新经济增长模式层出不穷的转型时代,传统企业究竟要如何实现互联网+.如何玩转即将出现的10亿网民所带来的数据红利和网民人口红利?被誉为中国"互联网建筑师&qu

QQ群排名自动吸粉，同样是玩群，为什么他们这么牛?

说到玩QQ群,我们相信每个人都会有不同的感想,那同样是玩QQ群,为什么有的人一毛钱都没捞到,有的人却可以赚得盆满钵满,其实,玩QQ群和做项目一样,其本身并无好坏,只不过是看谁来玩罢了,下面我们就举几个简单的例子来说明一下: 案例1.用QQ群玩人脉的"人脉哥" 我们和人脉哥是好朋友,他算得上是一个玩QQ群的高手,他的高明之处不在于玩QQ群的技术上,而是在于QQ群运用上; 人脉哥本身是做小儿推拿的,所以他就建了几个本地的母婴群,他建群的目的不是为了吸引那些新妈妈们入群,然后直接推销自己的产

B - 瑶瑶带你玩激光坦克

B - 瑶瑶带你玩激光坦克 Time Limit: 2000/1000MS (Java/Others)    Memory Limit: 256000/128000KB (Java/Others) Submit Status Problem Description 有一款名为激光坦克的游戏,游戏规则是用一个坦克发出激光来达到一些目的,激光可以通过一些镜子反射. 机智的瑶瑶为了显示自己的智商高于常人,把这个游戏改造了一下,变成了用激光攻击敌人的游戏. 瑶瑶想知道射一次激光最多可以攻击到多少个敌人.

Aircrack除破解WiFi密码外的趣味玩法

Aircrack这种屌爆了的攻击测试套件在网上居然只有用它破解WiFi密码的教程,在这里我来扒个冷门,介绍下这款杀器的其他一些有趣的玩法. 0×00:首先你需要一张usb无线网卡 ifconfig查看可以正常识别,如果不行看这里. 0×01:干坏或者不坏的事情前先修改MAC ifconfig [INTERFACE] down#关闭网卡 #[INTERFACE]是指你的无线网卡,一般为wlan0,下不再说明 macchanger -m [MAC] [INTERFACE]#修改MAC,[MAC]是你