Golang中ptrace使用问题求助
Golang中ptrace使用问题求助
我正在尝试用Go编写一个strace工具,但遇到了一个棘手的问题。
我的代码:
// main.go
package main
import (
"fmt"
"os"
"os/exec"
"syscall"
)
func main() {
var regs syscall.PtraceRegs
cmd := exec.Command(os.Args[1], os.Args[2:]...)
cmd.Stderr = os.Stderr
cmd.Stdin = os.Stdin
cmd.Stdout = os.Stdout
cmd.SysProcAttr = &syscall.SysProcAttr{
Ptrace: true,
}
cmd.Start()
cmd.Wait()
pid := cmd.Process.Pid
fmt.Printf("Run %v [%d]\n", os.Args[1:], cmd.Process.Pid)
err := syscall.PtraceSyscall(pid, 0)
if err != nil {
panic(err)
}
for {
pid, err = syscall.Wait4(-1, nil, syscall.WALL, nil)
if err != nil {
break
}
if pid < 0 {
continue
}
err = syscall.PtraceGetRegs(pid, ®s)
if err != nil {
continue
}
if regs.Orig_rax == syscall.SYS_EXECVE {
fmt.Printf("%x : execve rax = %x, rsi = %x, rdi = %x, rdx = %x\n", regs.Rip, regs.Rax, regs.Rsi, regs.Rdi, regs.Rdx)
}
err = syscall.PtraceSyscall(pid, 0)
if err != nil {
panic(err)
}
}
fmt.Println("[EXITED]")
}
以及目标程序:
// test.c
// gcc -o test test.c
#include<stdio.h>
#include<stdlib.h>
int main() {
int x;
puts("hello world");
scanf("%d", &x);
if (x == 0) {
char *arg[] = {"ls", NULL};
execve("/bin/ls", arg, NULL);
}
else {
puts("bye");
}
}
正常情况下,当我运行 go run main.go ./test
输出应该类似于:
Run [./test] [59525]
hello world
0
7f6ef3929e37 : execve rax = ffffffffffffffda, rsi = 7ffc856296e0, rdi = 564ee24fe896, rdx = 0
7f52da510090 : execve rax = 0, rsi = 0, rdi = 0, rdx = 0
main.go test test.c
[EXITED]
但是当我运行 go run main.go ./test 时,输出却是:
Run [./test] [59590]
hello world
0
7f0bda014e37 : execve rax = ffffffffffffffda, rsi = 7ffffc7e6080, rdi = 55c8f1c12896, rdx = 0
7f649e219090 : execve rax = 0, rsi = 0, rdi = 0, rdx = 0
7f649e219090 : execve rax = 0, rsi = 0, rdi = 0, rdx = 0
main.go test test.c
[EXITED]
为什么会在0x7f649e219090处停止两次?
这个问题已经困扰我好几天了。
请帮帮我!
谢谢!
更多关于Golang中ptrace使用问题求助的实战教程也可以访问 https://www.itying.com/category-94-b0.html
恐怕这个论坛没有足够的用户基础和经验来帮助您。您应该尝试访问像 Stack Overflow 这样更常有人访问的网站,那里的人们经验更丰富。这只是尝试在线建立新社区时不可避免的困境。您会发现自己陷入了一个两难境地,而任何想要攻击这个社区的人都会找到他们能找到的任何弱点。
[抱歉抱怨。实在太累了]
更多关于Golang中ptrace使用问题求助的实战系列教程也可以访问 https://www.itying.com/category-94-b0.html
在ptrace跟踪execve系统调用时,观察到在同一个地址停止两次是正常行为。这是因为execve系统调用在Linux中会触发两次ptrace停止:
- 第一次停止发生在系统调用入口(syscall-entry)
- 第二次停止发生在系统调用退出(syscall-exit)
在你的代码中,当目标程序执行execve("/bin/ls", arg, NULL)时,ptrace会在这两个点都捕获到系统调用事件。
以下是修改后的代码,可以更清晰地显示这个过程:
package main
import (
"fmt"
"os"
"os/exec"
"syscall"
)
func main() {
var regs syscall.PtraceRegs
var isEntry = true
cmd := exec.Command(os.Args[1], os.Args[2:]...)
cmd.Stderr = os.Stderr
cmd.Stdin = os.Stdin
cmd.Stdout = os.Stdout
cmd.SysProcAttr = &syscall.SysProcAttr{
Ptrace: true,
}
cmd.Start()
cmd.Wait()
pid := cmd.Process.Pid
fmt.Printf("Run %v [%d]\n", os.Args[1:], cmd.Process.Pid)
err := syscall.PtraceSyscall(pid, 0)
if err != nil {
panic(err)
}
for {
pid, err = syscall.Wait4(-1, nil, syscall.WALL, nil)
if err != nil {
break
}
if pid < 0 {
continue
}
err = syscall.PtraceGetRegs(pid, ®s)
if err != nil {
continue
}
if regs.Orig_rax == syscall.SYS_EXECVE {
if isEntry {
fmt.Printf("ENTRY: %x : execve rax = %x, rsi = %x, rdi = %x, rdx = %x\n",
regs.Rip, regs.Rax, regs.Rsi, regs.Rdi, regs.Rdx)
} else {
fmt.Printf("EXIT: %x : execve rax = %x, rsi = %x, rdi = %x, rdx = %x\n",
regs.Rip, regs.Rax, regs.Rsi, regs.Rdi, regs.Rdx)
}
isEntry = !isEntry
}
err = syscall.PtraceSyscall(pid, 0)
if err != nil {
panic(err)
}
}
fmt.Println("[EXITED]")
}
这个修改版本会区分系统调用的入口和退出,输出将显示:
ENTRY: 7f0bda014e37 : execve rax = ffffffffffffffda, rsi = 7ffffc7e6080, rdi = 55c8f1c12896, rdx = 0
EXIT: 7f649e219090 : execve rax = 0, rsi = 0, rdi = 0, rdx = 0
在系统调用入口时,RAX寄存器包含系统调用号(对于execve是59),但在你的输出中显示为ffffffffffffffda,这是因为在系统调用入口时,寄存器值还未被设置。在系统调用退出时,RAX包含返回值(0表示成功)。
你观察到的行为是完全正常的,这是ptrace工作机制的一部分。

