ptrace(PTRACE_PEEKDATA, ...) 错误：数据转储答案

【问题标题】：ptrace(PTRACE_PEEKDATA, ...) error: data dumpptrace(PTRACE_PEEKDATA, ...) 错误：数据转储
【发布时间】：2018-11-08 17:59:23
【问题描述】：

我想从正在运行的进程中获取指令并使用 ptrace 进行更改。当变量 instr（包含当前指令 - PTRACE_PEEKDATA）未签名时，一切正常，但是当我将其更改为 long int 时，出现错误（内存转储）。 ptrace(PTRACE_PEEKDATA, ...) 返回 long int 所以这应该不是问题。我在 Ubuntu 上工作。

我在哪里做错了？我是新手，所以这可能会很愚蠢。

我的代码：

#include <stdio.h>
#include <sys/ptrace.h>
#include <sys/user.h>
#include <sys/types.h>
#include <stdlib.h>
#include <wait.h>

int main()
{
    int status; 
    char *pid_char;
    pid_t PID;
    struct user_regs_struct  reg; /* register */
    long int instr;
    unsigned changedInstr;


    printf("Tracee PID: ");
    scanf("%s", pid_char);
    PID = atoi(pid_char);
    printf("\n");

    /* PTRACE STARTS */
    ptrace(PTRACE_ATTACH, PID, NULL, NULL);
    waitpid(PID, &status, 0); 

    ptrace(PTRACE_GETREGS, PID, NULL, &reg);

    instr = ptrace(PTRACE_PEEKDATA, PID, reg.rip, NULL);
    printf("Current Instruction: %llx\n", instr);

    scanf("%u", &changedInstr);
    ptrace(PTRACE_POKEDATA, PID, reg.rip, &changedInstr);

    ptrace(PTRACE_DETACH, PID, NULL, NULL);

    return 0;
}

【问题讨论】：

On error, all requests return -1, and errno is set appropriately.你检查errno了吗？你把instr从unsigned long改了？这是唯一的变化吗？我怎样才能用一些程序重现它？

标签： c linux ubuntu ptrace

【解决方案1】：

在 x86_64 上，PTRACE_PEEKDATA 返回 8 个字节，PTRACE_POKEDATA 从其 addr 参数指向的地址开始传输 8 个字节。 使用 long 或 unsigned long 应该没问题。

如果您附加到 nanosleep 系统调用中的进程，指令流如下所示：

(gdb) disass /r
Dump of assembler code for function __nanosleep_nocancel:
   0x00007ffff7ad92e9 <+0>: b8 23 00 00 00  mov    $0x23,%eax
   0x00007ffff7ad92ee <+5>: 0f 05   syscall 
=> 0x00007ffff7ad92f0 <+7>: 48 3d 01 f0 ff ff   cmp    $0xfffffffffffff001,%rax
   0x00007ffff7ad92f6 <+13>:    73 31   jae    0x7ffff7ad9329 <nanosleep+73>
   0x00007ffff7ad92f8 <+15>:    c3  retq

执行instr = ptrace(PTRACE_PEEKDATA, PID, reg.rip, NULL);后， instr 将是 3173fffff0013d48 如果它是 unsigned long 或 f0013d48 如果它是 unsigned。

在你的程序中，changedInstr 是无符号的，ptrace(PTRACE_POKEDATA, PID, reg.rip, &changedInstr); 将传输 changedInstr 的 4 个字节，然后是堆栈上与之相邻的 4 个字节，可能是其他一些局部变量的一部分。如您所见，这 4 个字节可能是无害的，或者会使目标进程出现异常。

在这种情况下应该怎么做，如果你想在reg.rip写一个4字节的指令，是

unsigned changedInstr;
...
instr = ptrace(PTRACE_PEEKDATA, PID, reg.rip, NULL);
scanf("%u", &changedInstr);
instr = (instr & ~0xFFFFFFFFul) | changedInstr
ptrace(PTRACE_POKEDATA, PID, reg.rip, &instr);

【讨论】：