linux ptrace

killerxf

　　ptrace是内核代码调试一种常用的手段，使用ptrace这个系统调用，可以实现用户空间进程对用于空间进程的运行状态的跟踪。我们知道，在linux系统中，用户空间的进程是相互独立的，一个用户进程是不能够访问另外一个进程的地址空间的。使用ptrace调试程序的时候，它充当了用户进程调试用户进程之间的桥梁，一个用户进程使用ptrace主动/被动方式被另外一个进程跟踪，则跟踪进程可以使用ptrace陷入内核空间（当处于内核态时，就可访问当一个进程的相关变量了），观察被跟踪进程的运行状态。
　　进程被跟踪的方式主要有两种：
　　主动跟踪

　　PTRACE_TRACEME:被跟踪进程通过调用ptrace(PTRACE_TRACEME,0,NULL,NULL);
　　主动要求被跟踪。下面举例进行说明：
main()
{
    int pid,status;
    if((pid=fork())==0)//子进程
    exel("/child","child",0);
    else{
        sleep(1);
        kill(pid,SIGTRAP)
        wait(&status);
        if(WIFSTOPPED(status))
            printf("child has sleeped!");
        sleep(3);
        ptrace(PTRACE_CONT,pid,0,0);
        wait(&status);
    }
}
child.c
main(){
///使得该进程被跟踪（此时该进程并未停止）,如果某个进程调用该函数指定自己自愿被跟踪，
///那么，任何发送给当前进程的信号（SIGKILL除外），都会导致当前进程停止。
    ptrace(PTRACE_TRACEME,0,0,0);
    while(1){
      printf("hello");
    }
}　　ptrace_traceme只是将子进程连入到父进程的ptrace链表中，然后当子进程执行exec系统调用执行child程序，这是一个无限循环，父进程休眠1s之后，向子进程发送SIGINT信号，子进程停止，等待父进程的处理。该信号被父进程的wait函数捕获，父进程进行相应的处理之后通过ptrace_cont让子进程继续执行。
　　补充说明：wait（）函数被唤醒的条件包括：
　　1、子进程终止
　　2、子进程被信号暂停
　　3、子进程被信号唤醒
　　被动跟踪
　　跟踪进程主动要求跟踪另外一个进程
　　具体过程如下：
　　(1)跟踪进程调用ptrace(PTRACE_ATTARCH,...)陷入内核，向子进程（被跟踪进程发送SIGSTOP）
　　(2)子进程（被跟踪进程）收到该信号之后，就会stop，这将导致子进程向父进程发送SIGCHILD信号
　　(3)父进程的wait(&status)函数被唤醒，status中保存了子进程的状态
　　通过上面的过程，父进程就实现了对子进程的跟踪操作。