Đọc chồng của quá trình khác?

Tôi đang cố đọc ngăn xếp của một quá trình con nhưng không có may mắn. Tôi biết có thể sử dụng ptrace, nhưng ptracegiao diện của nó cho phép bạn chỉ đọc một từ một lần và tôi đang cố quét một phần lớn hơn của ngăn xếp.

Tôi cũng đã thử đọc /proc/$pid/memtừ các ràng buộc của ngăn xếp như được trích xuất từ /proc/$pid/mapstệp sau lần đầu tiên sử dụng ptrace để đính kèm với nó (như được đề xuất ở đây ) nhưng việc đọc vẫn không thành công (ngay cả khi chạy bằng root) mặc dù cùng một mã đã thành công khi thử đọc từ các phần khác nhau của quá trình (ví dụ heap).

Tôi đang làm gì sai? Có lựa chọn nào khác?

ptraceGiao diện cho phép bạn chỉ đọc một từ một lần và tôi đang cố quét một phần lớn hơn của ngăn xếp

Vâng, chỉ cần sử dụng một vòng lặp, sau đó. Thành thật tôi không thấy vấn đề đó cấu thành vấn đề như thế nào ptrace, tôi luôn sử dụng nó để truy cập các quy trình từ xa.

Tôi sử dụng một cái gì đó như thế này:

static int memcpy_from_target(pid_t pid, char *dest, long src, size_t n)
{
    static int const align = sizeof(long) - 1;

    while (n)
    {
        size_t todo = MIN(n, sizeof(long) - (src & align));
        long data = ptrace(PTRACE_PEEKTEXT, pid, src - (src & align), 0);
        if (errno)
        {
            perror("ptrace_peektext (memcpy_from_target)");
            return -1;
        }
        memcpy(dest, (char *)&data + (src & align), todo);

        dest += todo; src += todo; n -= todo;
    }

    return 0;
}

Đây là một chiến lược khác có thể cần điều chỉnh nhưng sẽ hiệu quả hơn với khối dữ liệu lớn. Ý tưởng là thực thi các tòa nhà trong quy trình từ xa để lấy nội dung ngăn xếp. Nó sẽ cần mã kiến ​​trúc cụ thể nhưng nếu bạn chỉ nhắm mục tiêu x86 / x86_64 thì điều đó không quá rắc rối.

1. Tạo một đường ống có tên như "/tmp/fifo"trong quá trình gọi điện của bạn.
2. Bước vào quy trình theo dõi cho đến khi nó trở về từ một tòa nhà, sử dụng PTRACE_SYSCALLđể bước, waitpid()để chờ và PTRACE_GETREGS/ PTRACE_PEEKTEXTđể kiểm tra opcode hiện được thực thi.
3. Sao lưu các thanh ghi của tiến trình từ xa và một vùng nhỏ trong ngăn xếp của nó.
4. Thực thi các tòa nhà trên quy trình từ xa bằng cách ghi đè ngăn xếp của nó bằng dữ liệu của riêng bạn : open("/tmp/fifo"), write()nội dung ngăn xếp, close()bộ mô tả.
5. Khôi phục trạng thái của quá trình từ xa.
6. Đọc dữ liệu fifo từ quá trình gọi điện của bạn.

Có thể có những lựa chọn thay thế thanh lịch hơn cho đường ống được đặt tên, nhưng tôi không thể nghĩ ra bất kỳ điều gì ngay bây giờ. Lý do tôi chỉ sử dụng các tòa nhà chọc trời là vì việc tiêm mã từ xa khá không đáng tin cậy trên các hệ thống hiện đại do các biện pháp bảo vệ khác nhau. Hạn chế là nó sẽ bị treo cho đến khi quá trình từ xa thực hiện một tòa nhà (có thể là một vấn đề đối với một số chương trình chủ yếu là tính toán).

Bạn có thể thấy một số mã miễn phí thực hiện hầu hết các công việc trong tệp nguồn này . Phản hồi về mã được chào đón!

Một đề nghị khác.

Khi / nếu nó được chấp nhận trong cây nhân Linux chính, bạn sẽ có thể sử dụng bản vá Đính kèm bộ nhớ chéo của Christopher Yeoh . Xem tài liệu cho process_vm_readv chẳng hạn.

Bạn có thể dễ dàng đọc ngăn xếp của một quá trình khác bằng hệ thống tệp Proc (Bạn sẽ cần quyền truy cập root cho việc này). Trước khi tự ý đọc từ / Proc / pid / mem, bạn cần tham khảo / Proc / pid / maps. Một đọc đơn giản trong tập tin này cho thấy rất nhiều mục. Chúng tôi quan tâm đến các mục được đánh dấu là ngăn xếp. Một khi bạn nhận được điều này, bạn cần đọc giới hạn dưới và trên của ngăn xếp. Bây giờ chỉ cần mở tệp / Proc / pid / mem, tìm đến giới hạn dưới của ngăn xếp và đọc kích thước chính xác của dữ liệu.

Bạn có thể thử lsstack . Nó sử dụng ptrace, giống như mọi chương trình "đọc ngăn xếp quá trình" thành công khác. Tôi không thể có được một chương trình sử dụng / Proc / $ pid / mem đọc để làm việc. Tôi tin rằng bạn không thể làm theo cách đó, mặc dù, về mặt logic, bạn nên làm.