使用ptrace监控

Posted here--

tags:

篇首语:本文由小常识网(cha138.com)小编为大家整理,主要介绍了使用ptrace监控相关的知识,希望对你有一定的参考价值。

关于ptrace,是在linux kernel中自带的模块,一个函数接口,能做的事情很多。

找到了两篇关于ptrace使用的blog,很详细,包括例子啥的。

ptrace的相关参数:

ptrace的使用demo:
 
监控的话,无论是attach还是fork一个进程,都是将目标进程变成此时进程的子进程。例如attack,会将目标进程挂起,此时进入子进程中,然后监控进程等待信号并唤醒目标进程,接收目标进程的信号,监控的时候则是关注于目标进程崩溃的信号,即11. 参见
各类信号对应的错误:
 
ptrace中的处理:
监控进程在完成相关操作以后就调用ptrace(PTRACE_CONT, …)或者 ptrace( PTRACE_SYSCALL, …), 这将唤醒子进程,内核此时所作的是调用一个叫wake_up_process() 的进程调度函数。其他的一些系统架构可能会通过发送SIGCHLD给子进程来达到这个目的。这也是在ptrace使用时,当使用traceme或者attach的时候,最后 都会有这两个调用中的一个。
 
注意:
使用attach(PTRACE_ATTACH或者PTRACE_SEIZE),需要使用root权限,不然无法attach.
 

以上是关于使用ptrace监控的主要内容,如果未能解决你的问题,请参考以下文章

“聊天剽窃手”--ptrace进程注入型病毒

linux之使用ptrace 跟踪多线程程序

如何在运行时监控进程的资源使用情况(时间、内存)?

Ptrace 沙箱绕过

使用 Ptrace 检索系统调用,在第一个之后停止

ptrace运行原理及使用详解