2024年4月29日发(作者：)

ptrace 用法 -回复

ptrace 是一个在 UNIX-like 系统中使用的系统调用，它允许一个进程监

控另一个进程的执行。主要用途包括调试程序、跟踪系统调用、实现内存

注入等。本文将详细介绍 ptrace 的用法，并通过一步一步的讲解帮助读

者更好地理解该系统调用的工作机制和应用场景。

1. 什么是 ptrace?

ptrace 是一个系统调用，用于监控和控制其他进程。它提供了一种机制，

允许一个进程（称为跟踪器）去观察和操作另一个进程（称为被跟踪进程）。

通过 ptrace，跟踪器可以读取和修改被跟踪进程的寄存器、内存和信号，

还可以控制被跟踪进程的执行状态。

2. ptrace 的用法有哪些？

ptrace 可以用来实现各种功能，包括：

- 调试程序：通过监控被跟踪进程的执行，可以获取程序的运行状态、内

存和寄存器数据，以便进行调试和错误排查。

- 实现内存注入：ptrace 允许跟踪器在被跟踪进程的地址空间中写入数

据，这使得在运行时动态修改程序的内存成为可能。

- 跟踪系统调用：ptrace 可以监视和跟踪被跟踪进程所发起的系统调用，

从而进行系统调用的记录和分析。

- 发送信号和处理信号：通过 ptrace，跟踪器可以向被跟踪进程发送信

号，还可以捕获和处理这些信号。

3. 如何使用 ptrace？

使用 ptrace 首先需要调用系统调用 `ptrace(PTRACE_TRACEME, 0,

NULL, NULL)`，这会将当前进程设置为跟踪器，使其能够被其他进程跟踪。

4. 如何开始跟踪一个进程？

跟踪器在调用 `ptrace(PTRACE_TRACEME, 0, NULL, NULL)` 后，可以

调用 `execve` 执行一个新的程序。被跟踪进程会成为跟踪器的子进程，

并进入跟踪状态。此时，跟踪器可以使用 `ptrace(PTRACE_ATTACH, pid,

NULL, NULL)` 将目标进程附加到自己上。

5. 如何跟踪被跟踪进程的执行？

一旦被跟踪进程被附加到跟踪器上，跟踪器可以使用

`ptrace(PTRACE_CONT, pid, NULL, NULL)` 命令来继续执行被跟踪进程，

同时跟踪器会进入等待状态。在等待状态下，跟踪器可以使用 `waitpid`

等待被跟踪进程进入某种的停止状态。此时，跟踪器可以使用

`ptrace(PTRACE_GETREGS, pid, NULL, ®s)` 读取被跟踪进程的寄存

器值。

6. 如何修改被跟踪进程的寄存器和内存？

通过 `ptrace(PTRACE_POKETEXT, pid, addr, data)` 命令，跟踪器可以

将一个字（4 字节）写入被跟踪进程的内存地址 `addr` 处。此外，还可

以使用 `ptrace(PTRACE_POKEDATA, pid, addr, data)` 来写入一个字的

数据。

7. 如何获取被跟踪进程的输出？

通过跟踪器的 `ptrace(PTRACE_PEEKDATA, pid, addr, NULL)` 命令可

以在被跟踪进程的内存地址 `addr` 处读取一个字的数据，并通过一定的

方法将其转换为人类可读的格式。

8. 如何捕获和处理信号？

跟踪器可以使用 `ptrace(PTRACE_SETOPTIONS, pid, NULL, options)`

来设置跟踪器的选项。其中，`options` 是一个使用 `OR` 运算符组合的

标志集，可以包括 `PTRACE_O_TRACESYSGOOD`、

`PTRACE_O_TRACEFORK`、`PTRACE_O_TRACECLONE` 等。可以使用

`ptrace(PTRACE_GETEVENTMSG, pid, NULL, &data)` 来获取产生信号

的数据。

9. 如何结束跟踪？

当不需要再跟踪被跟踪进程时，跟踪器可以通过调用

`ptrace(PTRACE_DETACH, pid, NULL, NULL)` 命令将被跟踪进程从自

己上分离出来，使其恢复到正常运行状态。

总结：

通过使用 ptrace，程序员可以更好地理解和调试程序的执行过程，还可

以实现一些底层的技术，如内存注入。虽然 ptrace 功能强大，但由于其

所涉及到的操作比较底层，因此在使用时需要十分小心，以免对系统造成

不可预料的影响。有时候，使用高级调试工具（如 gdb）可能更加安全和

方便。