Golang中ptrace使用问题求助

Golang中ptrace使用问题求助 我正在尝试用Go编写一个strace工具,但遇到了一个棘手的问题。
我的代码:

// main.go
package main

import (
	"fmt"
	"os"
	"os/exec"
	"syscall"
)

func main() {
	var regs syscall.PtraceRegs

	cmd := exec.Command(os.Args[1], os.Args[2:]...)
	cmd.Stderr = os.Stderr
	cmd.Stdin = os.Stdin
	cmd.Stdout = os.Stdout
	cmd.SysProcAttr = &syscall.SysProcAttr{
		Ptrace: true,
	}

	cmd.Start()
	cmd.Wait()
	pid := cmd.Process.Pid
	fmt.Printf("Run %v [%d]\n", os.Args[1:], cmd.Process.Pid)
	err := syscall.PtraceSyscall(pid, 0)
	if err != nil {
		panic(err)
	}

	for {
		pid, err = syscall.Wait4(-1, nil, syscall.WALL, nil)
		if err != nil {
			break
		}
		if pid < 0 {
			continue
		}

		err = syscall.PtraceGetRegs(pid, &regs)
		if err != nil {
			continue
		}
		if regs.Orig_rax == syscall.SYS_EXECVE {
			fmt.Printf("%x : execve rax = %x, rsi = %x, rdi = %x, rdx = %x\n", regs.Rip, regs.Rax, regs.Rsi, regs.Rdi, regs.Rdx)
		}

		err = syscall.PtraceSyscall(pid, 0)
		if err != nil {
			panic(err)
		}
	}
	fmt.Println("[EXITED]")
}

以及目标程序:

// test.c
// gcc -o test test.c
#include<stdio.h>
#include<stdlib.h>

int main() {
	int x;
	puts("hello world");
	scanf("%d", &x);
	if (x == 0) {
		char *arg[] = {"ls", NULL};
		execve("/bin/ls", arg, NULL);
	}
	else {
		puts("bye");
	}
}

正常情况下,当我运行 go run main.go ./test
输出应该类似于:

Run [./test] [59525]
hello world
0
7f6ef3929e37 : execve rax = ffffffffffffffda, rsi = 7ffc856296e0, rdi = 564ee24fe896, rdx = 0
7f52da510090 : execve rax = 0, rsi = 0, rdi = 0, rdx = 0
main.go  test  test.c
[EXITED]

但是当我运行 go run main.go ./test 时,输出却是:

Run [./test] [59590]
hello world
0
7f0bda014e37 : execve rax = ffffffffffffffda, rsi = 7ffffc7e6080, rdi = 55c8f1c12896, rdx = 0
7f649e219090 : execve rax = 0, rsi = 0, rdi = 0, rdx = 0
7f649e219090 : execve rax = 0, rsi = 0, rdi = 0, rdx = 0
main.go  test  test.c
[EXITED]

为什么会在0x7f649e219090处停止两次?

这个问题已经困扰我好几天了。
请帮帮我!
谢谢!


更多关于Golang中ptrace使用问题求助的实战教程也可以访问 https://www.itying.com/category-94-b0.html

2 回复

恐怕这个论坛没有足够的用户基础和经验来帮助您。您应该尝试访问像 Stack Overflow 这样更常有人访问的网站,那里的人们经验更丰富。这只是尝试在线建立新社区时不可避免的困境。您会发现自己陷入了一个两难境地,而任何想要攻击这个社区的人都会找到他们能找到的任何弱点。

[抱歉抱怨。实在太累了]

更多关于Golang中ptrace使用问题求助的实战系列教程也可以访问 https://www.itying.com/category-94-b0.html


在ptrace跟踪execve系统调用时,观察到在同一个地址停止两次是正常行为。这是因为execve系统调用在Linux中会触发两次ptrace停止:

  1. 第一次停止发生在系统调用入口(syscall-entry)
  2. 第二次停止发生在系统调用退出(syscall-exit)

在你的代码中,当目标程序执行execve("/bin/ls", arg, NULL)时,ptrace会在这两个点都捕获到系统调用事件。

以下是修改后的代码,可以更清晰地显示这个过程:

package main

import (
	"fmt"
	"os"
	"os/exec"
	"syscall"
)

func main() {
	var regs syscall.PtraceRegs
	var isEntry = true

	cmd := exec.Command(os.Args[1], os.Args[2:]...)
	cmd.Stderr = os.Stderr
	cmd.Stdin = os.Stdin
	cmd.Stdout = os.Stdout
	cmd.SysProcAttr = &syscall.SysProcAttr{
		Ptrace: true,
	}

	cmd.Start()
	cmd.Wait()
	pid := cmd.Process.Pid
	fmt.Printf("Run %v [%d]\n", os.Args[1:], cmd.Process.Pid)
	err := syscall.PtraceSyscall(pid, 0)
	if err != nil {
		panic(err)
	}

	for {
		pid, err = syscall.Wait4(-1, nil, syscall.WALL, nil)
		if err != nil {
			break
		}
		if pid < 0 {
			continue
		}

		err = syscall.PtraceGetRegs(pid, &regs)
		if err != nil {
			continue
		}
		
		if regs.Orig_rax == syscall.SYS_EXECVE {
			if isEntry {
				fmt.Printf("ENTRY: %x : execve rax = %x, rsi = %x, rdi = %x, rdx = %x\n", 
					regs.Rip, regs.Rax, regs.Rsi, regs.Rdi, regs.Rdx)
			} else {
				fmt.Printf("EXIT:  %x : execve rax = %x, rsi = %x, rdi = %x, rdx = %x\n", 
					regs.Rip, regs.Rax, regs.Rsi, regs.Rdi, regs.Rdx)
			}
			isEntry = !isEntry
		}

		err = syscall.PtraceSyscall(pid, 0)
		if err != nil {
			panic(err)
		}
	}
	fmt.Println("[EXITED]")
}

这个修改版本会区分系统调用的入口和退出,输出将显示:

ENTRY: 7f0bda014e37 : execve rax = ffffffffffffffda, rsi = 7ffffc7e6080, rdi = 55c8f1c12896, rdx = 0
EXIT:  7f649e219090 : execve rax = 0, rsi = 0, rdi = 0, rdx = 0

在系统调用入口时,RAX寄存器包含系统调用号(对于execve是59),但在你的输出中显示为ffffffffffffffda,这是因为在系统调用入口时,寄存器值还未被设置。在系统调用退出时,RAX包含返回值(0表示成功)。

你观察到的行为是完全正常的,这是ptrace工作机制的一部分。

回到顶部