使用ptrace(linux，c)从程序的入口点跟踪程序

Question

我想跟踪寄存器&使用ptrace的程序指令。为了更好地理解我的代码，我将其简化为只计算"0"的指令数/bin/ls"；。

这是我的代码(忽略不必要的包含(：

#include <stdio.h>
#include <sys/ptrace.h>
#include <sys/types.h>
#include <sys/wait.h>
#include <unistd.h>
#include <sys/user.h>
#include <sys/reg.h>    
#include <sys/syscall.h>
int main()
{   
pid_t child;
child = fork(); //create child

if(child == 0) {
ptrace(PTRACE_TRACEME, 0, NULL, NULL);
char* child_argv[] = {"/bin/ls", NULL};
execv("/bin/ls", child_argv);
}
else {
int status;
long long ins_count = 0;
while(1)
{
//stop tracing if child terminated successfully
wait(&status);
if(WIFEXITED(status))
break;
ins_count++;
ptrace(PTRACE_SINGLESTEP, child, NULL, NULL);
}
printf("n%lld Instructions executed.n", ins_count);
}

return 0;
}

当我运行这个代码时；484252指令执行"；，我真的很怀疑。我在谷歌上搜索发现，这些指令大多来自于在实际程序(/bin/ls(执行之前加载库。

如何跳过单步执行/bin/ls的第一条实际指令并从中计数？

Answer 1

你是对的，你的计数包括动态链接器完成它的工作(以及在二进制文件开始执行之前AFAIK一个单一的幻影指令(。

(我使用的是shell命令，但也可以使用elf.h从C代码中完成；有关一个很好的示例，请参阅musl动态链接器(

你可以：

• 分析/bin/ls的ELF头以找到入口点和包含入口点的程序头(我在这里使用cat，因为在写这篇文章时，它更容易长时间运行(

# readelf -l /bin/cat
Elf file type is EXEC (Executable file)
Entry point 0x4025b0
There are 9 program headers, starting at offset 64
Program Headers:
Type           Offset             VirtAddr           PhysAddr
FileSiz            MemSiz              Flags  Align
(...)
LOAD           0x0000000000000000 0x0000000000400000 0x0000000000400000
0x000000000000b36c 0x000000000000b36c  R E    0x200000
(...)

入口点在VirtAddr和VirtAddr+FileSiz之间，标志包括可执行位(E(，所以看起来我们走在了正确的轨道上。

注意：Elf file type is EXEC(而不是DYN(意味着我们总是将程序头映射到VirtAddr中指定的固定位置；这意味着对于我的cat构建，我们可以使用上面找到的入口点地址。DYN二进制文件可以——也可以——加载在任意地址，所以我们需要进行重新定位。

• 查找二进制文件的实际加载地址

AFAIK程序头按VirtAddr排序，因此带有LOAD标志的第一个段将映射到最低地址。打开/proc/<pid>/maps并查找您的二进制文件：

# grep /bin/cat /proc/7431/maps
00400000-0040c000 r-xp 00000000 08:03 1046541                            /bin/cat
0060b000-0060c000 r--p 0000b000 08:03 1046541                            /bin/cat
0060c000-0060d000 rw-p 0000c000 08:03 1046541                            /bin/cat

第一个段被映射到0x00400000(这是ELF类型==EXEC所期望的(。如果不是，您需要调整入口点地址：

actual_entrypoint_addr = elf_entrypoint_addr - elf_virt_addr_of_first_phdr + actual_addr_of_first_phdr

• 在actual_entrypoint_addr上设置断点并调用ptrace(PTRACE_CONT)。一旦断点命中(waitpid()返回(，按照迄今为止的方式继续(计算ptrace(PTRACE_SINGLESTEP)秒(

---

我们需要处理重新定位的示例：

# readelf -l /usr/sbin/nginx
Elf file type is DYN (Shared object file)
Entry point 0x24e20
There are 9 program headers, starting at offset 64
Program Headers:
Type           Offset             VirtAddr           PhysAddr
FileSiz            MemSiz              Flags  Align
(...)
LOAD           0x0000000000000000 0x0000000000000000 0x0000000000000000
0x000000000010df54 0x000000000010df54  R E    0x200000
(...)
# grep /usr/sbin/nginx /proc/1425/maps
55e299e78000-55e299f86000 r-xp 00000000 08:03 660029                     /usr/sbin/nginx
55e29a186000-55e29a188000 r--p 0010e000 08:03 660029                     /usr/sbin/nginx
55e29a188000-55e29a1a4000 rw-p 00110000 08:03 660029                     /usr/sbin/nginx

入口点位于0x55e299e78000-0+0x24e20==0x55e299 e9ce20