linux ptrace 读内存,linux ptrace

ptrace是内核代码调试一种常用的手段，使用ptrace这个系统调用，可以实现用户空间进程对用于空间进程的运行状态的跟踪。我们知道，在linux系统中，用户空间的进程是相互独立的，一个用户进程是不能够访问另外一个进程的地址空间的。使用ptrace调试程序的时候，它充当了用户进程调试用户进程之间的桥梁，一个用户进程使用ptrace主动/被动方式被另外一个进程跟踪，则跟踪进程可以使用ptrace陷入内核空间(当处于内核态时，就可访问当一个进程的相关变量了)，观察被跟踪进程的运行状态。

进程被跟踪的方式主要有两种：

主动跟踪

PTRACE_TRACEME:被跟踪进程通过调用ptrace(PTRACE_TRACEME,0,NULL,NULL);

主动要求被跟踪。下面举例进行说明：main()

{

int pid,status;

if((pid=fork())==0)//子进程

exel("/child","child",0);

else{

sleep(1);

kill(pid,SIGTRAP)

wait(&status);

if(WIFSTOPPED(status))

printf("child has sleeped!");

sleep(3);

ptrace(PTRACE_CONT,pid,0,0);

wait(&status);

}

}

child.c

main(){

///使得该进程被跟踪(此时该进程并未停止),如果某个进程调用该函数指定自己自愿被跟踪，

///那么，任何发送给当前进程的信号(SIGKILL除外)，都会导致当前进程停止。

ptrace(PTRACE_TRACEME,0,0,0);

while(1){

printf("hello");

}

}

ptrace_traceme只是将子进程连入到父进程的ptrace链表中，然后当子进程执行exec系统调用执行child程序，这是一个无限循环，父进程休眠1s之后，向子进程发送SIGINT信号，子进程停止，等待父进程的处理。该信号被父进程的wait函数捕获，父进程进行相应的处理之后通过ptrace_cont让子进程继续执行。

补充说明：wait()函数被唤醒的条件包括：

1、子进程终止

2、子进程被信号暂停

3、子进程被信号唤醒

被动跟踪

跟踪进程主动要求跟踪另外一个进程

具体过程如下：

(1)跟踪进程调用ptrace(PTRACE_ATTARCH,...)陷入内核，向子进程(被跟踪进程发送SIGSTOP)

(2)子进程(被跟踪进程)收到该信号之后，就会stop，这将导致子进程向父进程发送SIGCHILD信号

(3)父进程的wait(&status)函数被唤醒，status中保存了子进程的状态

通过上面的过程，父进程就实现了对子进程的跟踪操作。