C语言 如何检测当前流程是否由我行运行

ca1c2owp  于 2023-02-21  发布在  其他
关注(0)|答案(8)|浏览(115)

标准方法如下:

if (ptrace(PTRACE_TRACEME, 0, NULL, 0) == -1)
  printf("traced!\n");

在这种情况下,如果当前进程被跟踪(例如,使用GDB运行它或附加到它),ptrace将返回一个错误。
但这里面有一个严重的问题:如果调用成功返回,GDB可能不会连接到它。这是一个问题,因为我不想实现反调试的东西。我的目的是当一个条件被满足(例如,Assert失败)和GDB正在运行时发出一个'int3'(否则我会得到一个SIGTRAP,停止应用程序)。
每次禁用SIGTRAP并发出'int3'不是一个好的解决方案,因为我测试的应用程序可能将SIGTRAP用于其他目的(在这种情况下,我仍然很糟糕,所以这无关紧要,但这是事情的原理:))

ds97pgxw

ds97pgxw1#

在Windows上有一个API IsDebuggerPresent来检查进程是否在调试中。在Linux上,我们可以用另一种方法来检查(效率不高)。
检查"跟踪器Pid"属性的"/进程/自身/状态"。
示例代码:

#include <sys/stat.h>
#include <string.h>
#include <fcntl.h>
#include <unistd.h>
#include <ctype.h>

bool debuggerIsAttached()
{
    char buf[4096];

    const int status_fd = open("/proc/self/status", O_RDONLY);
    if (status_fd == -1)
        return false;

    const ssize_t num_read = read(status_fd, buf, sizeof(buf) - 1);
    close(status_fd);

    if (num_read <= 0)
        return false;

    buf[num_read] = '\0';
    constexpr char tracerPidString[] = "TracerPid:";
    const auto tracer_pid_ptr = strstr(buf, tracerPidString);
    if (!tracer_pid_ptr)
        return false;

    for (const char* characterPtr = tracer_pid_ptr + sizeof(tracerPidString) - 1; characterPtr <= buf + num_read; ++characterPtr)
    {
        if (isspace(*characterPtr))
            continue;
        else
            return isdigit(*characterPtr) != 0 && *characterPtr != '0';
    }

    return false;
}
aelbi1ox

aelbi1ox2#

我最终使用的代码如下所示:

int
gdb_check()
{
  int pid = fork();
  int status;
  int res;

  if (pid == -1)
  {
    perror("fork");
    return -1;
  }

  if (pid == 0)
  {
    int ppid = getppid();

    /* Child */
    if (ptrace(PTRACE_ATTACH, ppid, NULL, NULL) == 0)
    {
      /* Wait for the parent to stop and continue it */
      waitpid(ppid, NULL, 0);
      ptrace(PTRACE_CONT, NULL, NULL);

      /* Detach */
      ptrace(PTRACE_DETACH, getppid(), NULL, NULL);

      /* We were the tracers, so gdb is not present */
      res = 0;
    }
    else
    {
      /* Trace failed so GDB is present */
      res = 1;
    }
    exit(res);
  }
  else
  {
    waitpid(pid, &status, 0);
    res = WEXITSTATUS(status);
  }
  return res;
}

几件事:

  • 当ptrace(PTRACE_ATTACH,...)成功时,被跟踪的进程将停止并必须继续。
  • 这在GDB稍后连接时也有效。
  • 一个缺点是,当频繁使用时,它会导致严重的减速。
  • 而且,这个解决方案只被确认在Linux上工作,正如评论中提到的,它在BSD上不工作。
9rygscc1

9rygscc13#

你可以fork一个子进程,它会尝试PTRACE_ATTACH它的父进程(然后在必要时分离),并将结果传递回来,尽管这看起来有点不优雅。
正如你提到的,这是相当昂贵的。我想如果Assert不规则地失败也不是太糟糕。也许保持一个长时间运行的子进程来做这件事是值得的--在父进程和子进程之间共享两个管道,子进程在读取一个字节时进行检查,然后将一个字节连同状态一起发送回来。

k7fdbhmy

k7fdbhmy4#

我也有类似的需求,并提出了以下替代方案

static int _debugger_present = -1;
static void _sigtrap_handler(int signum)
{
    _debugger_present = 0;
    signal(SIGTRAP, SIG_DFL);
}

void debug_break(void)
{
    if (-1 == _debugger_present) {
        _debugger_present = 1;
        signal(SIGTRAP, _sigtrap_handler);
        raise(SIGTRAP);
    }
}

如果调用debug_break函数,则只有在连接调试器时才会中断。
如果你在x86上运行,并且想要一个在调用者中中断的断点(而不是在 raise 中),只需包含下面的头,并使用debug_break宏:

#ifndef BREAK_H
#define BREAK_H

#include <stdio.h>
#include <stdlib.h>
#include <signal.h>

int _debugger_present = -1;
static void _sigtrap_handler(int signum)
{
    _debugger_present = 0;
    signal(SIGTRAP, SIG_DFL);
}

#define debug_break()                       \
do {                                        \
    if (-1 == _debugger_present) {          \
        _debugger_present = 1;              \
        signal(SIGTRAP, _sigtrap_handler);  \
        __asm__("int3");                    \
    }                                       \
} while(0)

#endif
a8jjtwal

a8jjtwal5#

我发现文件描述符“hack”的修改版本described by Silviocesareblogged by xorl对我来说工作得很好。
这是我使用的修改过的代码:

#include <stdio.h>
#include <unistd.h>

// gdb apparently opens FD(s) 3,4,5 (whereas a typical prog uses only stdin=0, stdout=1,stderr=2)
int detect_gdb(void)
{
    int rc = 0;
    FILE *fd = fopen("/tmp", "r");

    if (fileno(fd) > 5)
    {
        rc = 1;
    }

    fclose(fd);
    return rc;
}
g9icjywg

g9icjywg6#

如果只是为了调试而想知道应用程序是否在GDB下运行,Linux上最简单的解决方案是readlink("/proc/<ppid>/exe"),并搜索"gdb"的结果。

cidc1ykv

cidc1ykv7#

这与terminal的回答类似,但使用管道进行通信:

#include <unistd.h>
#include <stdint.h>
#include <sys/ptrace.h>
#include <sys/wait.h>

#if !defined(PTRACE_ATTACH) && defined(PT_ATTACH)
#  define PTRACE_ATTACH PT_ATTACH
#endif
#if !defined(PTRACE_DETACH) && defined(PT_DETACH)
#  define PTRACE_DETACH PT_DETACH
#endif

#ifdef __linux__
#  define _PTRACE(_x, _y) ptrace(_x, _y, NULL, NULL)
#else
#  define _PTRACE(_x, _y) ptrace(_x, _y, NULL, 0)
#endif

/** Determine if we're running under a debugger by attempting to attach using pattach
 *
 * @return 0 if we're not, 1 if we are, -1 if we can't tell.
 */
static int debugger_attached(void)
{
    int pid;

    int from_child[2] = {-1, -1};

    if (pipe(from_child) < 0) {
        fprintf(stderr, "Debugger check failed: Error opening internal pipe: %s", syserror(errno));
        return -1;
    }

    pid = fork();
    if (pid == -1) {
        fprintf(stderr, "Debugger check failed: Error forking: %s", syserror(errno));
        return -1;
    }

    /* Child */
    if (pid == 0) {
        uint8_t ret = 0;
        int ppid = getppid();

        /* Close parent's side */
        close(from_child[0]);

        if (_PTRACE(PTRACE_ATTACH, ppid) == 0) {
            /* Wait for the parent to stop */
            waitpid(ppid, NULL, 0);

            /* Tell the parent what happened */
            write(from_child[1], &ret, sizeof(ret));

            /* Detach */
            _PTRACE(PTRACE_DETACH, ppid);
            exit(0);
        }

        ret = 1;
        /* Tell the parent what happened */
        write(from_child[1], &ret, sizeof(ret));

        exit(0);
    /* Parent */
    } else {
        uint8_t ret = -1;

        /*
         *    The child writes a 1 if pattach failed else 0.
         *
         *    This read may be interrupted by pattach,
         *    which is why we need the loop.
         */
        while ((read(from_child[0], &ret, sizeof(ret)) < 0) && (errno == EINTR));

        /* Ret not updated */
        if (ret < 0) {
            fprintf(stderr, "Debugger check failed: Error getting status from child: %s", syserror(errno));
        }

        /* Close the pipes here, to avoid races with pattach (if we did it above) */
        close(from_child[1]);
        close(from_child[0]);

        /* Collect the status of the child */
        waitpid(pid, NULL, 0);

        return ret;
    }
}

在OS X下尝试原始代码,我发现waitpid(在父进程中)总是返回-1,并带有EINTR(系统调用中断),这是由pattach引起的,连接到父进程并中断调用。
不清楚再次调用waitpid是否安全(看起来它在某些情况下可能会出错),所以我只是使用了一个管道来进行通信,这是一个额外的代码,但可能会在更多的平台上可靠地工作。
这段代码已经在OS X v10.9.3(Mavericks)、Ubuntu 14.04(Trusty Tahr)(3.13.0-24-generic)和FreeBSD 10.0上进行了测试。
对于实现进程功能的Linux,此方法仅在进程具有CAP_SYS_PTRACE功能时有效,该功能通常在进程以root身份运行时设置。
其他实用程序(gdblldb)也将此功能设置为其文件系统元数据的一部分。
可以通过链接-lcap来检测进程是否存在有效的CAP_SYS_PTRACE

#include <sys/capability.h>

cap_flag_value_t value;
cap_t current;

/*
 *  If we're running under Linux, we first need to check if we have
 *  permission to to ptrace. We do that using the capabilities
 *  functions.
 */
current = cap_get_proc();
if (!current) {
    fprintf(stderr, "Failed getting process capabilities: %s\n", syserror(errno));
    return -1;
}

if (cap_get_flag(current, CAP_SYS_PTRACE, CAP_PERMITTED, &value) < 0) {
    fprintf(stderr, "Failed getting permitted ptrace capability state: %s\n", syserror(errno));
    cap_free(current);
    return -1;
}

if ((value == CAP_SET) && (cap_get_flag(current, CAP_SYS_PTRACE, CAP_EFFECTIVE, &value) < 0)) {
    fprintf(stderr, "Failed getting effective ptrace capability state: %s\n", syserror(errno));
    cap_free(current);
    return -1;
}
cngwdvgl

cngwdvgl8#

Sam Liao答案的C++版本(仅限Linux):

// Detect if the application is running inside a debugger.
bool being_traced()
{
  std::ifstream sf("/proc/self/status");
  std::string s;
  while (sf >> s)
  {
    if (s == "TracerPid:")
    {
      int pid;
      sf >> pid;
      return pid != 0;
    }
    std::getline(sf, s);
  }

  return false;
}

相关问题