[Ptrace]Linux内存替换（一）函数介绍

最近对Linux下内存替换突发兴趣，遂决定实践试试。Linux下的内存替换不像Windows可以利用CreateRemoteThread那么容易，不过Linux也提供了ptrace()这么强大的API，所以为了实现内存替换，首先我要初步了解ptrace()。

【形式】

#include <sys/ptrace.h>
int ptrace(int request, int pid, int addr, int data);

【描述】
提供父进程观察和控制另一个进程执行的机制，同时提供查询和修改另一进程的核心映像与寄存器的能力，主要用于执行断点调试和系统调用跟踪。

【功能】
Request参数决定了系统调用的功能：

• PTRACE_TRACEME
  本进程被其父进程所跟踪。其父进程应该希望跟踪子进程。

• PTRACE_PEEKTEXT, PTRACE_PEEKDATA
  从内存地址中读取一个字节，内存地址由addr给出。

• PTRACE_PEEKUSR
  从USER区域中读取一个字节，偏移量为addr。

• PTRACE_POKETEXT, PTRACE_POKEDATA
  往内存地址中写入一个字节。内存地址由addr给出。

• PTRACE_POKEUSR
  往USER区域中写入一个字节。偏移量为addr。

• PTRACE_SYSCALL, PTRACE_CONT
  重新运行。

• PTRACE_KILL
  杀掉子进程，使它退出。

• PTRACE_SINGLESTEP
  设置单步执行标志

• PTRACE_ATTACH
  跟踪指定pid 进程。

• PTRACE_DETACH
  结束跟踪

Intel386特有：

• PTRACE_GETREGS
  读取寄存器

• PTRACE_SETREGS
  设置寄存器

• PTRACE_GETFPREGS
  读取浮点寄存器

• PTRACE_SETFPREGS
  设置浮点寄存器
  init进程不可以使用此函数

【返回值】
成功返回0，错误返回-1，errno被设置。

• EPERM
  特殊进程不可以被跟踪或进程已经被跟踪。

• ESRCH
  指定的进程不存在

• EIO
  请求非法

【参考】
http://blog.sina.com.cn/s/blog_4ac74e9a0100n7w1.html
http://blog.sina.com.cn/s/blog_601f224a01013alj.html