5

我在linux中玩ptrace。我正在尝试使用 /proc/pid/mem 接口编写被跟踪进程的内存。

我用来完成这项任务的功能是：

void write_proc(pid_t child, unsigned long int addr) {

  char mem_file_name[100];
  char buf[10]="hope";
  int mem_fd;


  memset( (void*)mem_file_name, 0, 100);
  memset( (void *)buf, 0, 10);

  sprintf(mem_file_name, "/proc/%d/mem", child);
  mem_fd = open(mem_file_name, O_RDONLY);
  lseek(mem_fd, addr , SEEK_SET);

  if (write(mem_fd, buf, 5) < 0 )
    perror("Writing");

  return;

}

但我总是收到错误消息：Writing: Bad file descriptor。

是否可以使用这种方法编写跟踪的进程？

4

2 回答 2

4

您正在以只读模式 ( O_RDONLY) 打开文件。我建议再试一次O_RDWR：

  mem_fd = open(mem_file_name, O_RDWR);

但是，man proc目前尚不清楚这是否可行：

   /proc/[pid]/mem
          This  file can be used to access the pages of a process's memory
          through open(2), read(2), and lseek(2).

编辑：

我也很好奇，所以我直接使用了这个例子ptrace()：

#include <sys/ptrace.h>
#include <unistd.h>
#include <stdio.h>
#include <stdlib.h>
#include <stdint.h>

#define SHOW(call) ({ int _ret = (int)(call); printf("%s -> %d\n", #call, _ret); if (_ret < 0) { perror(NULL); }})

char changeme[] = "This is  a test";

int main (void)
{
  pid_t pid = fork();
  int ret;
  int i;
  union {
    char cdata[8];
    int64_t data;
  } u = { "Hijacked" };

  switch (pid) {
  case 0: /* child */
    sleep(1);
    printf("Message: %s\n", changeme);
    exit(0);

  case -1:
    perror("fork");
    exit(1);
    break;

  default: /* parent */
    SHOW(ptrace(PTRACE_ATTACH, pid, 0, 0));
    SHOW(ptrace(PTRACE_POKEDATA, pid, changeme, u.data));
    SHOW(ptrace(PTRACE_CONT, pid, 0, 0));
    wait(NULL);
    break;
  }

  return 0;
}
于 2013-03-23T11:15:04.870 回答
2

ptrace(2)是一个非常神秘的系统调用，仅由调试器等使用。

当然，记录在案的PTRACE_POKEDATA请求ptrace 应该可以工作（当跟踪进程停止时），并让您能够写入被跟踪进程的内存。我不知道写（或mmap-ing）到/proc/$pid/mem是否应该工作。

谷歌搜索linux write /proc /mem给了我一个特别的提示，这表明它 /proc/$pid/mem被设计为只读的，但在最近的内核中可能已被设为可写。但是最近来自内核源代码树的Documentation/filesystems/proc.txt并没有说太多。

我会谨慎写在/proc/$pid/mem; 如果它有效（也可能无效），它可能是非常特定于内核版本的。

也许mmap-ing 该文件的某些部分/proc/$pid/mem确实有效（但我不知道）。你试过吗？

相反，PTRACE_POKEDATA应该可以工作（在 Linux 出现之前，它已经存在于 SunOS 和许多其他 Unix 中）。当然，它相当缓慢。

于 2013-03-23T11:41:27.777 回答