C++ 怎么使用 ptrace 系统调用在 Linux 下实现一个简易的调试器与内存修改器-C++-PHP中文网

必须以ptrace_traceme开始：子进程在fork后、execve前调用ptrace(ptrace_traceme,0,null,null)，向内核声明允许父进程调试，否则waitpid会失败或阻塞，且后续ptrace操作因权限不足而无效。

c++ 怎么使用 ptrace 系统调用在 linux 下实现一个简易的调试器与内存修改器

ptrace 调试器必须以 PTRACE_TRACEME 开始，否则子进程无法被父进程控制

Linux 下用 ptrace 写调试器，第一步不是 attach，而是让被调试进程主动请求被跟踪。子进程在 fork() 后、execve() 前必须调用 ptrace(PTRACE_TRACEME, 0, nullptr, nullptr)，否则后续 waitpid() 会永远阻塞或直接失败（返回 -1，errno == ESRCH）。这个调用本质是向内核声明：“我愿意被父进程调试”。没有它，父进程调用 PTRACE_ATTACH 会因权限不足失败（除非有 CAP_SYS_PTRACE）。

常见错误现象：waitpid() 返回 -1 且 errno == ECHILD 或 ESRCH；或者子进程直接运行完退出，父进程完全收不到信号。

必须在 execve() 之前调用 PTRACE_TRACEME
调用后需立即 raise(SIGSTOP) 或依赖 execve 自动触发 SIGTRAP，确保停在入口点
父进程要 waitpid(pid, &status, 0) 等待子进程首次停止，之后才能读寄存器或内存

读写寄存器要用 PTRACE_GETREGS / PTRACE_SETREGS，别直接用 PTRACE_PEEKUSER

PTRACE_PEEKUSER 和 PTRACE_POKEUSER 是历史遗留接口，依赖架构特定的寄存器偏移（比如 x86_64 上 RIP 在 offset 0x70），可移植性差、易出错。现代写法应统一使用 PTRACE_GETREGS 和 PTRACE_SETREGS，它们操作标准结构体 user_regs_struct，字段名清晰（如 regs.rip、regs.rax），编译器能做类型检查。

示例：获取当前指令地址

struct user_regs_struct regs;
if (ptrace(PTRACE_GETREGS, pid, nullptr, &regs) == -1) {
    perror("PTRACE_GETREGS");
    return -1;
}
printf("RIP = 0x%lx\n", regs.rip);

PTRACE_GETREGS 需在进程处于 stopped 状态下调用，否则返回 -1（errno == ESRCH）
修改寄存器后必须配对调用 PTRACE_SETREGS，再用 PTRACE_SINGLESTEP 或 PTRACE_CONT 继续执行
x86_64 下 user_regs_struct 定义在 <sys></sys>，无需手动计算偏移

修改内存得用 PTRACE_PEEKTEXT / PTRACE_POKETEXT，且地址必须按页对齐并可写

读写目标进程内存，必须用 PTRACE_PEEKTEXT 和 PTRACE_POKETEXT（两者在 Linux 上实际等价于 PTRACE_PEEKDATA/PTRACE_POKEDATA）。不能用 read()/write() 直接操作 /proc/PID/mem —— 那需要额外打开权限，且不兼容所有内核配置（ptrace_scope 限制下常被拒）。

Obsidian (Linux)

操作 Obsidian 库（纯 Markdown 笔记），并通过 notesmd-cli 实现自动化。

下载

关键限制：

目标地址必须是合法的用户空间虚拟地址，且所在内存页已映射（可用 mincore() 或解析 /proc/PID/maps 验证）
目标页必须可写（maps 中含 w 标志），否则 PTRACE_POKETEXT 返回 -1（errno == EIO）
一次只能读写一个 long（8 字节），跨字节需循环调用；若要改字符串或大块数据，得拆成多次 PTRACE_POKETEXT

示例：将地址 0x401000 处的 4 字节改为 0x90909090（nop 指令）

long data = 0x90909090;
// 注意：只覆盖低 4 字节，高位保持原值（需先 peek 原值再 mask）
long orig = ptrace(PTRACE_PEEKTEXT, pid, (void*)0x401000, nullptr);
data = (orig & ~0xffffffffL) | data;
ptrace(PTRACE_POKETEXT, pid, (void*)0x401000, (void*)data);

单步执行必须用 PTRACE_SINGLESTEP，但要注意信号透传和 syscall 陷阱

让被调试进程执行一条指令，应该用 PTRACE_SINGLESTEP，而不是 PTRACE_CONT 加断点模拟。前者由内核硬件支持（x86 的 TF 标志），可靠且无需手动插桩。但有两个关键细节：

如果子进程在 waitpid() 返回时带 WIFSTOPPED(status) && WSTOPSIG(status) == SIGTRAP，说明刚触发断点或单步完成；此时若想继续单步，直接发 PTRACE_SINGLESTEP 即可
若子进程因 execve 或 clone 进入新上下文，内核可能发送 SIGTRAP | 0x80（即 WSTOPSIG(status) | 0x80），表示 syscall 入口/出口——这是 PTRACE_O_TRACEEXEC 或 PTRACE_O_TRACESYSGOOD 的副作用，需显式处理，否则容易误判为普通断点
调用 PTRACE_SINGLESTEP 后，务必再次 waitpid()，否则进程会脱离控制变成僵尸或继续运行