如何从进程中分离，以便可以通过另一个进程进行跟踪？

Question

计划步骤：

1. 通过fork创建子进程并在其中调用execv
2. Ptrace附加到子进程
3. 用ptrace做点什么
4. 脱离孩子
5. 执行gdb -p child_pid

但是当gdb启动时，它会写入已跟踪的子进程。如何从跟踪过程中分离出来，以便它可以被另一个过程追踪？

执行上述操作的代码

#include <stdio.h>
#include <stdlib.h>
#include <unistd.h>
#include <sys/wait.h>
#include <sys/signal.h>
#include <sys/user.h>
#include <sys/ptrace.h>

#define Error(msg) do { perror(msg); exit(0); } while(0)
#define PTRACE_E(req, pid, addr, data) \
    do { \
        if(ptrace(req, pid, addr, data) < 0) { \
            perror(#req); \
            exit(0); \
        } \
    } while(0)
#define BUF_SIZE 16

int main(int argc, char **argv) {
    pid_t pid;
    struct user_regs_struct regs;
    int status;
    char buf[BUF_SIZE];

    if (argc < 2) {
        fprintf(stderr, "Usage: %s <executable> [ARGS]\n", argv[0]);
        exit(0);
    }

    pid = fork();
    if(pid < 0) {
        Error("fork");
    } else if(pid == 0) {
        if(execv(argv[1], &argv[1]) < 0)
            Error("execv");
    }

    PTRACE_E(PTRACE_ATTACH, pid, NULL, NULL);

    while(wait(&status) && !WIFEXITED(status)) {
        PTRACE_E(PTRACE_GETREGS, pid, NULL, &regs);

        if(regs.orig_eax == 26 && regs.ebx == PTRACE_TRACEME) {
            regs.eax = 0;

            PTRACE_E(PTRACE_SETREGS, pid, NULL, &regs);
            break;
        }

        PTRACE_E(PTRACE_SYSCALL, pid, NULL, NULL);
    }

    ptrace(PTRACE_DETACH, pid, NULL, NULL);

    snprintf(buf, BUF_SIZE, "%d", pid);
    execl("/usr/bin/gdb", "/usr/bin/gdb", "-p", buf, NULL);
}

Answer 1

这里要注意的重要事项是PTRACE_SYSCALL请求将使目标进程在进入或退出系统调用时停止。 manual page说

跟踪器无法区分Syscall-enter-stop和syscall-exit-stop。跟踪器需要跟踪ptrace-stops的顺序，以便不会将syscall-enter-stop误解为syscall-exit-stop，反之亦然。

如果使用ptrace更改目标的寄存器值，您将更改内核将看到的系统调用参数，或者更改用户进程将看到的返回值，具体取决于您是在syscall-enter-stop还是syscall执行此操作-exit停止。

您的代码在syscall-enter-stop运行：

if (regs.orig_eax == 26 && regs.ebx == PTRACE_TRACEME) {
    regs.eax = 0;
    PTRACE_E(PTRACE_SETREGS, pid, NULL, &regs);
    break;
}

它将eax（在进入系统调用时为-38）更改为0.由于您的目的是将目标的PTRACE_TRACEME请求的返回代码从-1更改为0，因此您需要再次执行PTRACE_SYSCALL，因此在运行上面的代码之前，目标将在syscall-exit-stop处停止。

目前，您的代码在PTRACE_SETREGS请求之后突破循环，然后执行

ptrace(PTRACE_DETACH, pid, NULL, NULL);

它将脱离目标并继续它。 （现在为ex-）目标完成其PTRACE_TRACEME请求，该请求成功，再次使其父级成为跟踪器。

execl("/usr/bin/gdb", "/usr/bin/gdb", "-p", buf, NULL);

Gdb会给出一条警告消息，因为它出乎意料地已经是目标的跟踪器。