[[438549]]

ptrace 是 Linux 內(nèi)核提供的非常強大的系統(tǒng)調(diào)用，通過 ptrace 可以實現(xiàn)進(jìn)程的單步調(diào)試和收集系統(tǒng)調(diào)用情況。比如 strace 和 gdb 都是基于 ptrace 實現(xiàn)的，strace 可以顯示進(jìn)程調(diào)用了哪些系統(tǒng)調(diào)用，gdb 可以實現(xiàn)對進(jìn)程的調(diào)試。本文介紹這些工具的底層 ptrace 是如何實現(xiàn)的。這里選用了 1.2.13 的早期版本，原理是類似的，新版內(nèi)核代碼過多，沒必要陷入過多細(xì)節(jié)中。

1 進(jìn)程調(diào)試

ptrace 系統(tǒng)調(diào)用的實現(xiàn)中包含了很多功能，首先來看一下單步調(diào)試的實現(xiàn)。通過 ptrace 實現(xiàn)單步調(diào)試的方式有兩種。

1. 父進(jìn)程執(zhí)行 fork 創(chuàng)建一個子進(jìn)程，通過 ptrace 設(shè)置子進(jìn)程為 PF_PTRACED 標(biāo)記，然后執(zhí)行 execve 加載被調(diào)試的程序。

2. 通過 ptrace attach 到指定的 pid 完成對進(jìn)程的調(diào)試(控制)。

首先看一下第一種的實現(xiàn)。

1.1 方式1

pid_t pid = fork();// 子進(jìn)程if (pid == 0) { 
    ptrace(PTRACE_TRACEME,0,NULL,NULL); 
    // 加載被調(diào)試的程序 
    execve(argv[1], NULL, NULL); 
} 

執(zhí)行 fork 創(chuàng)建子進(jìn)程后，通過 ptrace 的 PTRACE_TRACEME 指示操作系統(tǒng)設(shè)置子進(jìn)程為被調(diào)試(設(shè)置 PF_PTRACED 標(biāo)記)。來看一下這一步操作系統(tǒng)做了什么事情。

asmlinkage int sys_ptrace(long request, long pid, long addr, long data){ 
    if (request == PTRACE_TRACEME) { 
        current->flags |= PF_PTRACED; 
        return 0; 
    } 
} 

這一步非常簡單，接著看 execve 加載程序到內(nèi)存執(zhí)行時又是如何處理的。

int do_execve(char * filename, char ** argv, char ** envp, struct pt_regs * regs) { 
    // 加載程序 
    for (fmt = formats ; fmt ; fmt = fmt->next) { 
        int (*fn)(struct linux_binprm *, struct pt_regs *) = fmt->load_binary; 
        retval = fn(&bprm, regs); 
    } 
} 

do_execve 邏輯非常復(fù)雜，不過我們只關(guān)注需要的就好。do_execve 通過鉤子函數(shù)加載程序，我們看看 formats 是什么。

struct linux_binfmt { 
    struct linux_binfmt * next; 
    int *use_count; 
    int (*load_binary)(struct linux_binprm *, struct  pt_regs * regs); 
    int (*load_shlib)(int fd); 
    int (*core_dump)(long signr, struct pt_regs * regs); 
}; 
 
static struct linux_binfmt *formats = &aout_format;int register_binfmt(struct linux_binfmt * fmt){ 
    struct linux_binfmt ** tmp = &formats; 
 
    if (!fmt) 
        return -EINVAL; 
    if (fmt->next) 
        return -EBUSY; 
    while (*tmp) { 
        if (fmt == *tmp) 
            return -EBUSY; 
        tmp = &(*tmp)->next; 
    } 
    *tmp = fmt; 
    return 0;    
} 

可以看到 formats 是一個鏈表。可以通過 register_binfmt 函數(shù)注冊節(jié)點。那么誰調(diào)用了這個函數(shù)呢?

struct linux_binfmt elf_format = { 
 
NULL, NULL, load_elf_binary, load_elf_library, NULL};int init_module(void) { 
 
register_binfmt(&elf_format); 
 
return 0; 
 
} 

所以最終調(diào)用了 load_elf_binary 函數(shù)加載程序。同樣我們只關(guān)注相關(guān)的邏輯。

if (current->flags & PF_PTRACED) 
        send_sig(SIGTRAP, current, 0); 

load_elf_binary 中會判斷如果進(jìn)程設(shè)置了 PF_PTRACED 標(biāo)記，那么會給當(dāng)前進(jìn)程發(fā)送一個 SIGTRAP 信號。接著看信號處理函數(shù)的相關(guān)邏輯。

if ((current->flags & PF_PTRACED) && signr != SIGKILL) { 
    current->exit_code = signr; 
    // 修改當(dāng)前進(jìn)程（被調(diào)試的進(jìn)程）為暫停狀態(tài) 
    current->state = TASK_STOPPED; 
    // 通知父進(jìn)程 
    notify_parent(current); 
    // 調(diào)度其他進(jìn)程執(zhí)行 
    schedule(); 
} 

所以程序被加載到內(nèi)存后，根本沒有機會執(zhí)行就直接被修改為暫停狀態(tài)了，接下來看看 notify_parent 通知父進(jìn)程干什么。

void notify_parent(struct task_struct * tsk){    
    // 給父進(jìn)程發(fā)送 SIGCHLD 信號 
    if (tsk->p_pptr == task[1]) 
        tsk->exit_signal = SIGCHLD; 
    send_sig(tsk->exit_signal, tsk->p_pptr, 1); 
    wake_up_interruptible(&tsk->p_pptr->wait_chldexit); 
} 

父進(jìn)程收到信號后，可以通過 sys_ptrace 控制子進(jìn)程，sys_ptrace 還提供了很多功能，比如讀取子進(jìn)程的數(shù)據(jù)。

// pid 為子進(jìn)程 id 
 
num = ptrace(PTRACE_PEEKUSER, pid, ORIG_RAX * 8, NULL); 

這個就不展開了，主要是內(nèi)存的校驗和數(shù)據(jù)讀取。這里講一下 PTRACE_SINGLESTEP 命令，這個命令控制子進(jìn)程單步執(zhí)行的。

case PTRACE_SINGLESTEP: {  /* set the trap flag. */ 
        long tmp; 
        child->flags &= ~PF_TRACESYS; 
        // 設(shè)置 eflags 的單步調(diào)試 flag 
        tmp = get_stack_long(child, sizeof(long)*EFL-MAGICNUMBER) | TRAP_FLAG; 
        put_stack_long(child, sizeof(long)*EFL-MAGICNUMBER,tmp); 
        // 修改子進(jìn)程狀態(tài)為可執(zhí)行 
        child->state = TASK_RUNNING; 
        child->exit_code = data; 
        return 0; 
} 

PTRACE_SINGLESTEP 讓子進(jìn)程重新進(jìn)入運行狀態(tài)，但是有一個很關(guān)鍵的是，設(shè)置好了單步調(diào)試 flag。我們看看 trap flag 是什么。

A trap flag permits operation of a processor in single-step mode. If such a flag is available, debuggers can use it to step through the execution of a computer program. 

也就是說，子進(jìn)程執(zhí)行一個指令后，就會被中斷，然后系統(tǒng)會給被調(diào)試進(jìn)程發(fā)送 SIGTRAP 信號。同樣，被調(diào)試進(jìn)程在信號處理函數(shù)里，通知父進(jìn)程，從而控制權(quán)又回到了父進(jìn)程手中，如此循環(huán)。

1.2 方式2

除了開始時通過 ptrace 設(shè)置進(jìn)程調(diào)試，也可以通過 ptrace 動態(tài)設(shè)置調(diào)試進(jìn)程的能力，具體是通過 PTRACE_ATTACH 命令實現(xiàn)的。

if (request == PTRACE_ATTACH) { 
        // 設(shè)置被調(diào)試標(biāo)記 
        child->flags |= PF_PTRACED; 
        // 設(shè)置和父進(jìn)程的關(guān)系 
        if (child->p_pptr != current) { 
            REMOVE_LINKS(child); 
            child->p_pptr = current; 
            SET_LINKS(child); 
        } 
        // 給被調(diào)試進(jìn)程發(fā)送 SIGSTOP 信號 
        send_sig(SIGSTOP, child, 1); 
        return 0; 
} 

前面已經(jīng)分析過，信號處理函數(shù)里會設(shè)置進(jìn)程為暫停狀態(tài)，然后通知主進(jìn)程，主進(jìn)程就可以控制子進(jìn)程，具體和前面流程一樣。

2 跟蹤系統(tǒng)調(diào)用

ptrace 處理追蹤進(jìn)程執(zhí)行過程之外，還可以實現(xiàn)跟蹤系統(tǒng)調(diào)用。具體是通過 PTRACE_SYSCALL 命令實現(xiàn)。

case PTRACE_SYSCALL: 
case PTRACE_CONT: { 
    long tmp; 
    // 設(shè)置 PF_TRACESYS 標(biāo)記 
    if (request == PTRACE_SYSCALL) 
        child->flags |= PF_TRACESYS; 
    child->exit_code = data; 
    child->state = TASK_RUNNING; 
    // 清除 trap flag 標(biāo)記 
    tmp = get_stack_long(child, sizeof(long)*EFL-MAGICNUMBER) & ~TRAP_FLAG; 
    put_stack_long(child, sizeof(long)*EFL-MAGICNUMBER,tmp); 
    return 0; 
} 

看起來很簡單，就是設(shè)置了一個新的標(biāo)記 PF_TRACESYS。看看這個標(biāo)記有什么用。

// 調(diào)用 syscall_trace 函數(shù) 
1:  call _syscall_trace 
    movl  
    movl ORIG_EAX(%esp),%eax 
    // 調(diào)用系統(tǒng)調(diào)用 
    call _sys_call_table(,%eax,4) 
    movl %eax,EAX(%esp)     # save the return value 
    movl _current,%eax 
    movl errno(%eax),%edx 
    negl %edx 
    je 1f 
    movl %edx,EAX(%esp) 
    orl $(CF_MASK),EFLAGS(%esp) # set carry to indicate error 
// 調(diào)用 syscall_trace 函數(shù) 
1:  call _syscall_trace 

可以看到在系統(tǒng)調(diào)用的前后都有一個 syscall_trace 的邏輯，所以在系統(tǒng)調(diào)用前和后，我們都可以做點事情。來看看這個函數(shù)做了什么。

asmlinkage void syscall_trace(void){ 
    // 暫停子進(jìn)程，通知父進(jìn)程，并調(diào)度其他進(jìn)程執(zhí)行 
    current->exit_code = SIGTRAP; 
    current->state = TASK_STOPPED; 
    notify_parent(current); 
    schedule(); 
} 

這里的邏輯就是把邏輯切換到主進(jìn)程中，然后主進(jìn)程就可以通過命令獲取被調(diào)試進(jìn)程的系統(tǒng)調(diào)用信息。下面是一個追蹤進(jìn)程所有系統(tǒng)調(diào)用的例子。

/* 
  use ptrace to find all system call that call by certain process 
*/ 
#include <sys/ptrace.h> 
#include <unistd.h> 
#include <stdlib.h> 
#include <sys/wait.h> 
#include <stdio.h> 
#include <sys/reg.h> 
 
int main(int argc, char *argv[]) { 
    pid_t pid = fork(); 
    if (pid < 0) { 
        printf("fork failed"); 
        exit(-1); 
    } else if (pid == 0) { 
        // set state of child process to PTRACE 
        ptrace(PTRACE_TRACEME,0,NULL,NULL); 
        // child will change to stopped state when in execve call, then send the signal to parent 
        execve(argv[1], NULL, NULL); 
    } else { 
        int status; 
        int bit = 1; 
        long num; 
        long ret; 
        // wait for child 
        wait(&status); 
        if(WIFEXITED(status)) 
            return 0; 
        // this is for execve call which will not return, and for os of 64-it => ORIG_RAX * 8 or os of 32-it => ORIG_EAX * 4 
        num = ptrace(PTRACE_PEEKUSER, pid, ORIG_RAX * 8, NULL); 
        printf("system call num = %ld\n", num); 
        ptrace(PTRACE_SYSCALL, pid, NULL, NULL); 
        while(1) { 
            wait(&status); 
            if(WIFEXITED(status)) 
                return 0; 
            // for enter system call 
            if(bit) { 
                num = ptrace(PTRACE_PEEKUSER, pid, ORIG_RAX * 8, NULL); 
                printf("system call num = %ld", num); 
                bit = 0; 
            } else { // for return of system call 
                ret = ptrace(PTRACE_PEEKUSER, pid, RAX*8, NULL); 
                printf("system call return = %ld \n", ret); 
                bit = 1; 
            } 
            // let this child process continue to run until call next system call 
            ptrace(PTRACE_SYSCALL,pid,NULL,NULL); 
        } 
    } 
} 

總結(jié)

ptrace 功能復(fù)雜而強大，理解它的原理對理解其他技術(shù)和工具都非常有意義，本文大概做了一個介紹，有興趣的同學(xué)可以自行查看源碼。