Ptrace源码分析报告.doc

Ptrace 的源码分析

• 前言

我们组选择了系统调用拦截这个题目，本想参考 strace 来做一个类似的系统调用的拦 截程序。但是后来发现我们发言前已经有同学介绍过系统调用 ptrace 的使用和相应的
DEMO 程序了，为了和他们的工作区别开来，我们的重点放在了研究 ptrace 的内核实现上。
在这里我们主要描述 ptrace 的概述、标记跟踪、被跟踪进程与跟踪进程间切换和 ptrace 调 试四大部分。虽然我们自己写了 DEMO 程序，也简略分析了 strace，但是为了能够突出重
点更详细的说明 ptrace 的结构，我们都将这些省去了。下面是我们的报告，请李老师批阅。

• Ptrace 内核实现

• Ptrace 概述

Ptrace 在 Unix 的早起版本里面就已经存在了，主要是用来对特定进程进行跟踪和调试
的一个系统调用。在 ptrace 的使用中，我们将相关的进程分为被跟踪的进程和跟踪进程两 种。通过 ptrace 系统调用，跟踪进程可以跟踪被跟踪进程的系统调用行为，并且还可以更
改被跟踪进程的寄存器、内存和特定的调式寄存器(i386 架构中只能改第七号调试寄存器)。 此外，ptrace 还提供的单步调试的功能，它的软中断比硬件提供的单步调试功能更加精确。

使用这个系统调用，程序员可以很方便的调试自己的程序。据我们所知，现有的
strace 和 gdb 都在一定程度上依赖于 ptrace 系统调用。Ptrace 这个系统调用对于程序调试
有及其重要的作用，因此 ptrace 具有较大的研究意义。

2.1.2 ptrace 系统调用的格式

Ptrace 的原型如图 1 所示，有四个参数，第一个参数 request 决定了 ptrace 的行为。 后面三个参数要根据第一个参数的取值才有特定的含义。其中，第二个参数指定了对象进
程的进程号，addr 和 data 分别是内存地址和传入的数据。

Figure 1
2.1.3 ptrace 的 request 参数

Ptrace 的 request 参 数 决 定 了 ptrace 系 统 调 用 的 行 为 ， 它 在 内 核 源 码 的 "include/linux/ptrace.h" 和 "include/asm-i386/ptrace.h" 中 定 义 。 图 二 、 三 和 图 四 在
"include/linux/ptrace.h"中定义，图五在"include/asm-i386/ptrace.h"。

图二罗列了 ptrace 中与硬件架构无关的几个参数：

PTRACE_ME： 由被跟踪进程调用，调用该系统调用的进程把自己标记为被父进程跟踪。
下面的参数都是由跟踪进程调用的。

PTRACE_PEEKTEXT 和 PTRACE_PEEKDATA： 从被跟踪进程的内存空间里读取位于 addr 地
址的一个字长度的数据。忽略 data 参数。

PTRACE_PEEKUSER： 读取被跟踪进程的用户空间中偏移量为 addr 的一个字长度的数据。
忽略 data 参数。

PTRACE_POKETEXT 和 PTRACE_POKEDATA：把 data 指向的一个字长的数据拷贝到被跟踪
进程的内存中位置为 addr 内存空间里。

PTRACE_POKEUSER： 将 data 指向的一个字长的数据拷贝到被跟踪进程的用户空间中偏
移量为 addr 的内存空间里。

PTRACE_CONT：重启被跟踪进程，并将 data 指向的作为信号传给被跟踪进程。如果
data 是零，那么只是正常的重启进程。忽略 addr 参数。

PTRACE_KILL：发送 SIGKILL 到被跟踪进程。忽略 addr 和 data 参数。

PTRACE_SINGLESTEP：和和 PTRACE_CONT 类似，只是被跟踪进程执行下一条指令的时
候会立刻暂停。

PTRACE_ATTACH：跟踪者用这个参数来将指定的 pid 的进程作为被跟踪进程，并将被
跟踪进程作为跟踪进程的子进程。

PTRACE_DETACH ： 和 PTRACE_CONT 类 似 ， 重 启 被 跟 踪 进 程 。 但 是 会 先 回 复
PTRACE_ATTACH 和 PTRACE_ME 的操作。data 被作为参数传递给被跟踪
进程，忽略 addr 参数。

PTRACE_SYSCALL：和 PTRACE_CONT 类似，只是被跟踪进程执行下一个系统调用的时候
仍会暂停。

Figure 2

图三表示了 ptrace 调用实现与硬件有关的四个参数。

PTRACE_SETOPTIONS：设置 ptrace 跟踪的参数选项，选项的值由 data 中的位图变量指
定（可取图 4 中的值） 。

PTRACE_GETEVENTMSG：获取被跟踪进程的信息，并存放在 data 指向的跟踪进程的内
存空间里。对于 PTRACE_EVENT_EXIT 信号，data 中的值为跟踪进程终结 的时候的返回值。对于 PTRACE_EVENT_FORK，PTRACE_EVENT_VFORK 和 PTRACE_EVENT_CLONE 信号，则 data 中的值为新进程的 pid。忽略 addr
参数。

PTRACE_GETSIGINFO：获取引起被跟踪进程暂停的信号，并保存在 data 指向的内存空
间。参数 addr 忽略。

PTRACE_SETSIGINFO：设置引起被跟踪进程暂停的信号为 data 指向的内存空间中的
siginfo_t 结构体。参数 addr 忽略。

Figure 3