使用 Ptrace 去攔截和模擬 Linux 系統呼叫 | Linux 中國

ptrace(2)（“行程跟蹤process trace”）系統呼叫通常都與除錯有關。它是類 Unix 系統上透過原生除錯器監測被除錯行程的主要機制。它也是實現 strace[1]（系統呼叫跟蹤system call trace）的常見方法。使用 Ptrace，跟蹤器可以暫停被跟蹤行程，檢查和設定暫存器和記憶體[2]，監視系統呼叫，甚至可以攔截intercepting系統呼叫。

透過攔截功能，意味著跟蹤器可以篡改系統呼叫引數，篡改系統呼叫的傳回值，甚至阻塞某些系統呼叫。言外之意就是，一個跟蹤器本身完全可以提供系統呼叫服務。這是件非常有趣的事，因為這意味著一個跟蹤器可以模擬一個完整的外部作業系統，而這些都是在沒有得到核心任何幫助的情況下由 Ptrace 實現的。

問題是，在同一時間一個行程只能被一個跟蹤器附著，因此在那個行程的除錯期間，不可能再使用諸如 GDB 這樣的工具去模擬一個外部作業系統。另外的問題是，模擬系統呼叫的開銷非常高。

在本文中，我們將專註於 x86-64 Linux 的 Ptrace[3]，並將使用一些 Linux 專用的擴充套件。同時，在本文中，我們將忽略掉一些錯誤檢查，但是完整的原始碼仍然會包含這些錯誤檢查。

本文中的可直接執行的示例程式碼在這裡：https://github.com/skeeto/ptrace-examples

strace

在進入到最有趣的部分之前，我們先從回顧 strace 的基本實現來開始。它不是 DTrace[5]，但 strace 仍然非常有用。

Ptrace 一直沒有被標準化。它的介面在不同的作業系統上非常類似，尤其是在核心功能方面，但是在不同的系統之間仍然存在細微的差別。ptrace(2) 的原型基本上應該像下麵這樣，但特定的型別可能有些差別。

long ptrace(int request, pid_t pid, void *addr, void *data);

pid 是被跟蹤行程的 ID。雖然同一個時間只有一個跟蹤器可以附著到該行程上，但是一個跟蹤器可以附著跟蹤多個行程。

request 欄位選擇一個具體的 Ptrace 函式，比如 ioctl(2) 介面。對於 strace，只需要兩個：

另外兩個欄位，addr 和 data，作為所選的 Ptrace 函式的一般引數。一般情況下，可以忽略一個或全部忽略，在那種情況下，傳遞零個引數。

strace 介面實質上是字首到另一個命令之前。

$ strace [strace options] program [arguments]

最小化的 strace 不需要任何選項，因此需要做的第一件事情是 —— 假設它至少有一個引數 —— 在 argv 尾部的 fork(2) 和 exec(2) 被跟蹤行程。但是在載入標的程式之前，新的行程將告知核心，標的程式將被它的父行程繼續跟蹤。被跟蹤行程將被這個 Ptrace 系統呼叫暫停。

pid_t pid = fork();
switch (pid) {
    case -1: /* error */
        FATAL("%s", strerror(errno));
    case 0:  /* child */
        ptrace(PTRACE_TRACEME, 0, 0, 0);
        execvp(argv[1], argv + 1);
        FATAL("%s", strerror(errno));
}

父行程使用 wait(2) 等待子行程的 PTRACE_TRACEME，當 wait(2) 傳回後，子行程將被暫停。

waitpid(pid, 0, 0);

在允許子行程繼續執行之前，我們告訴作業系統，被跟蹤行程和它的父行程應該一同被終止。一個真實的 strace 實現可能會設定其它的選擇，比如： PTRACE_O_TRACEFORK。

ptrace(PTRACE_SETOPTIONS, pid, 0, PTRACE_O_EXITKILL);

剩餘部分就是一個簡單的、無休止的迴圈了，每迴圈一次捕獲一個系統呼叫。迴圈體總共有四步：

這個 PTRACE_SYSCALL 請求被用於等待下一個系統呼叫時開始，和等待那個系統呼叫退出。和前面一樣，需要一個 wait(2) 去等待被跟蹤行程進入期望的狀態。

ptrace(PTRACE_SYSCALL, pid, 0, 0);
waitpid(pid, 0, 0);

當 wait(2) 傳回時，進行了系統呼叫的執行緒的暫存器中寫入了該系統呼叫的系統呼叫號及其引數。儘管如此，作業系統仍然沒有為這個系統呼叫提供服務。這個細節對後續操作很重要。

接下來的一步是採集系統呼叫資訊。這是各個系統架構不同的地方。在 x86-64 上，系統呼叫號是在 rax 中傳遞的[6]，而引數（最多 6 個）是在 rdi、rsi、rdx、r10、r8 和 r9 中傳遞的。這些暫存器是由另外的 Ptrace 呼叫讀取的，不過這裡再也不需要 wait(2)了，因為被跟蹤行程的狀態再也不會發生變化了。

struct user_regs_struct regs;
ptrace(PTRACE_GETREGS, pid, 0, &regs);
long syscall = regs.orig_rax;
fprintf(stderr, "%ld(%ld, %ld, %ld, %ld, %ld, %ld)",
        syscall,
        (long)regs.rdi, (long)regs.rsi, (long)regs.rdx,
        (long)regs.r10, (long)regs.r8,  (long)regs.r9);

ptrace(PTRACE_GETREGS, pid, 0, &regs);
fprintf(stderr, " = %ld\n", (long)regs.rax);

for (;;) {
    /* Enter next system call */
    ptrace(PTRACE_SYSCALL, pid, 0, 0);
    waitpid(pid, 0, 0);
    struct user_regs_struct regs;
    ptrace(PTRACE_GETREGS, pid, 0, &regs);
    /* Is this system call permitted? */
    int blocked = 0;
    if (is_syscall_blocked(regs.orig_rax)) {
        blocked = 1;
        regs.orig_rax = -1; // set to invalid syscall
        ptrace(PTRACE_SETREGS, pid, 0, &regs);
    }
    /* Run system call and stop on exit */
    ptrace(PTRACE_SYSCALL, pid, 0, 0);
    waitpid(pid, 0, 0);
    if (blocked) {
        /* errno = EPERM */
        regs.rax = -EPERM; // Operation not permitted
        ptrace(PTRACE_SETREGS, pid, 0, &regs);
    }
}

#define SYS_xpledge 10000

#define _GNU_SOURCE
#include <unistd.h>
#define XPLEDGE_RDWR (1 << 0)
#define XPLEDGE_OPEN (1 << 1)
#define xpledge(arg) syscall(SYS_xpledge, arg)

/* Handle entrance */
switch (regs.orig_rax) {
    case SYS_pledge:
        register_pledge(regs.rdi);
        break;
}

/* Handle exit */
switch (regs.orig_rax) {
    case SYS_pledge:
        ptrace(PTRACE_POKEUSER, pid, RAX * 8, 0);
        break;
}

$ ./example
fread("/dev/urandom")[1] = 0xcd2508c7
XPledging...
XPledge failed: Function not implemented
fread("/dev/urandom")[2] = 0x0be4a986
fread("/dev/urandom")[1] = 0x03147604

>$ ./xpledge ./example
fread("/dev/urandom")[1] = 0xb2ac39c4
XPledging...
fopen("/dev/urandom")[2]: Operation not permitted
fread("/dev/urandom")[1] = 0x2e1bd1c4

for (;;) {
    ptrace(PTRACE_SYSEMU, pid, 0, 0);
    waitpid(pid, 0, 0);
    struct user_regs_struct regs;
    ptrace(PTRACE_GETREGS, pid, 0, &regs);
    switch (regs.orig_rax) {
        case OS_read:
            /* ... */
        case OS_write:
            /* ... */
        case OS_open:
            /* ... */
        case OS_exit:
            /* ... */
        /* ... and so on ... */
    }
}