멀티 스레드 응용 프로그램을 ptrace하는 방법은 무엇입니까?

Question

EDIT (MADE PROGRESS) :

vsftpd 데몬을 ptrace하려고합니다. 나는 데몬에 붙어있는 다음 코드를 가지고있다. 그런 다음 첫 번째 생성 된 프로세스의 PID를 성공적으로 표시합니다. 그러나이 생성 된 프로세스의 하위 항목에 대해 2,3,3 ... PID를 반환합니다. 프로그램이 생성 된 프로세스의 종료를 catch하지만 내가 가까이에 있다고 생각하게 만듭니다.

아이디어가 있으십니까?

void * trace_process(void * pid){ 
    pid_t child = atoi((char *) pid); 
    long orig_eax, eax; 
    int status; 
    int callmade = FALSE; 
    long opt = PTRACE_O_TRACEFORK; 
    long newpid; 

    long trace = ptrace(PTRACE_ATTACH,child,NULL,NULL); 
    ptrace(PTRACE_SETOPTIONS,child,NULL,opt); 
    if(trace == FALSE) 
     printf("Attached to %d\n",child); 

    while(TRUE) { 
     child = waitpid(-1, &status, __WALL); 

     if (status >> 16 == PTRACE_EVENT_FORK) { 
      ptrace(PTRACE_GETEVENTMSG, child, NULL, (long) &newpid); 
      ptrace(PTRACE_SYSCALL, newpid, NULL, NULL);  

      printf("Attached to offspring %ld\n", newpid); 
     } 
     else{ 
      if(WIFEXITED(status)) 
       printf("Child %d exited\n", child); 
     } 

     ptrace(PTRACE_SYSCALL,child, NULL, NULL); 
    } 
} 

샘플 출력 :

Attached to 2015 // daemon 
Attached to offspring 5302 // new connection handler 
Attached to offspring 2 // should be authenticator 
Child 5303 exited  // authenticator exiting on successful login 
Attached to offspring 3 // should be process serving files 
Child 5304 exited  // logout: process serving files 
Child 5302 exited  // connection closed 
Attached to offspring 5305 // new connection handler 
Attached to offspring 2 // ... repeat 
Child 5306 exited 
Attached to offspring 3 
Child 5307 exited 
Child 5305 exited 

Answer 1

I 부모와 자식으로부터 오는 모든 시스템 호출을 캡처하는 것이 실제로 작동한다는 것을 깨닫게됩니다. 유일한 문제는 PID가 실제 PI가 아닌 상대 번호로 반환된다는 것입니다. 그 결과 대기 PID가 실제로 부모로부터 생성되었다는 것을 확신하지 못하게됩니다. 어쨌든 코드는 모든 시스템 호출을 가져옵니다. PID가 왜 상대적인지를 알고 싶습니다.하지만 코드는 잘 작동합니다.

Answer 2

Playing with ptrace 기사를 읽는 동안, 나는이 고생 사용자로부터 this comment를 발견, 내 코드를 더 진행 한 후

/* After struggled a long time, I got a true way to make my ptrace worked 
* correct with multi-thread application. Here're my sample codes, hope it 
* can help others whom have the same confusion. */  

char trapCode[] = {0, 0, 0, 0}; 
int status; 

ptrace(PTRACE_ATTACH, childProcess, NULL, NULL); //childProcess is the main thread 
wait(NULL); 

printf("\nchild %d created\n", childProcess); 
fflush(stdout); 

long ptraceOption = PTRACE_O_TRACECLONE; 
ptrace(PTRACE_SETOPTIONS, childProcess, NULL, ptraceOption); 

struct user_regs_struct regs; 

for(unsigned int i = 0; i < m_breakPoints.size(); i++) 
{ 
    BreakPoint_Info breakPointInfo = m_breakPoints[i]; 
    if(!breakPointInfo.m_enabled) 
     continue; 

    unsigned int index = breakPointInfo.m_checkPointIndex; 
    if(m_bytesBackup.find(m_checkPoints[index].m_offset) != m_bytesBackup.end()) 
     continue; 

    unsigned long readAddr = m_checkPoints[index].m_offset; 
    One_Byte_With_Result *oneByte = new One_Byte_With_Result; 
    getData(childProcess, readAddr, trapCode, 4); 
    oneByte->m_char = trapCode[0]; 
    trapCode[0] = 0xcc; 
    putData(childProcess, readAddr, trapCode, 4); 

    m_bytesBackup.insert(std::make_pair(m_checkPoints[index].m_offset, oneByte)); 
} 

std::set allThreads; 
std::set::iterator allThreadsIter; 
allThreads.insert(childProcess); 

int rec = ptrace(PTRACE_CONT, childProcess, NULL, NULL); 

while(true) 
{ 
    pid_t child_waited = waitpid(-1, &status, __WALL); 

    if(child_waited == -1) 
     break; 

    if(allThreads.find(child_waited) == allThreads.end()) 
    { 
     printf("\nreceived unknown child %d\t", child_waited); 
     break; 
    } 

    if(WIFSTOPPED(status) && WSTOPSIG(status) == SIGTRAP) 
    { 
     pid_t new_child; 
     if(((status >> 16) & 0xffff) == PTRACE_EVENT_CLONE) 
     { 
      if(ptrace(PTRACE_GETEVENTMSG, child_waited, 0, &new_child) != -1) 
      {   
       allThreads.insert(new_child); 
       ptrace(PTRACE_CONT, new_child, 0, 0); 

       printf("\nchild %d created\t", new_child); 
      } 

      ptrace(PTRACE_CONT, child_waited, 0, 0); 
      continue; 
     } 
    } 

    if(WIFEXITED(status)) 
    { 
     allThreads.erase(child_waited); 
     printf("\nchild %d exited with status %d\t", child_waited, WEXITSTATUS(status)); 

     if(allThreads.size() == 0) 
      break; 
    } 
    else if(WIFSIGNALED(status)) 
    { 
     allThreads.erase(child_waited); 
     printf("\nchild %d killed by signal %d\t", child_waited, WTERMSIG(status)); 

     if(allThreads.size() == 0) 
      break; 
    } 
    else if(WIFSTOPPED(status)) 
    { 
     int stopCode = WSTOPSIG(status); 
     if(stopCode == SIGTRAP) 
     { 
      ptrace(PTRACE_GETREGS, child_waited, NULL, &regs); 
      unsigned long currentEip = regs.eip; 
      //printf("%d\t%08x\n", child_waited, currentEip); 

      Address_Bytes_Map::iterator iter = m_bytesBackup.find(currentEip - 1); 
      if(iter != m_bytesBackup.end()) 
      { 
       iter->second->m_result = true; 

       regs.eip = regs.eip - 1; 
       getData(child_waited, regs.eip, trapCode, 4); 
       trapCode[0] = iter->second->m_char; 
       putData(child_waited, regs.eip, trapCode, 4); 
       rec = ptrace(PTRACE_SETREGS, child_waited, NULL, &regs); 
      } 
     } 
    } 

    rec = ptrace(PTRACE_CONT, child_waited, 1, NULL); 

    continue; 
} 

Answer 3

스레드가 다음 wait() 전에 실행되도록하십시오.

시도 :

ptrace(PTRACE_SYSCALL,child, NULL, NULL); 

전 :

while(TURE)