別のプロセスのスタックを読みますか？

子プロセスのスタックを読み取ろうとしていますが、運がありません。を使用してそれが可能であることはわかっていますptraceが、ptraceのインターフェイスでは一度に1単語しか読み取ることができず、スタックの大部分をスキャンしようとしています。

また、最初にptraceを使用して添付した後/proc/$pid/memに/proc/$pid/mapsファイルから抽出されたスタックの境界から読み取りを試みました（ここで提案されています）が、読み取りが失敗し続けますプロセスのさまざまな部分（ヒープなど）から読み取ります。

何が間違っていますか？他のオプションはありますか？

ptraceのインターフェースを使用すると、一度に1つの単語しか読むことができず、スタックの大部分をスキャンしようとしています。

それでは、ループを使用してください。正直なところ、それがどのように問題を構成しているかはわかりませんがptrace、リモートアクセスプロセスには常に使用しています。

私はこのようなものを使用します：

static int memcpy_from_target(pid_t pid, char *dest, long src, size_t n)
{
    static int const align = sizeof(long) - 1;

    while (n)
    {
        size_t todo = MIN(n, sizeof(long) - (src & align));
        long data = ptrace(PTRACE_PEEKTEXT, pid, src - (src & align), 0);
        if (errno)
        {
            perror("ptrace_peektext (memcpy_from_target)");
            return -1;
        }
        memcpy(dest, (char *)&data + (src & align), todo);

        dest += todo; src += todo; n -= todo;
    }

    return 0;
}

微調整が必​​要な可能性がある別の戦略を次に示しますが、大量のデータの場合はより効率的です。アイデアは、スタックの内容を取得するために、リモートプロセスでsyscallを実行することです。特定のアーキテクチャコードが必要になりますが、x86 / x86_64のみを対象とする場合は、それほど面倒ではないはずです。

1. "/tmp/fifo"呼び出しプロセスなどで名前付きパイプを作成します。
2. syscallから戻るまでトレースされたプロセスにステップインし、PTRACE_SYSCALLstep を使用して、現在実行されているオペコードwaitpid()を待機およびPTRACE_GETREGS/ PTRACE_PEEKTEXTチェックします。
3. リモートプロセスのレジスタとそのスタックの小さな領域をバックアップします。
4. スタックを独自のデータで上書きして、リモートプロセスでsyscallsを実行します：open("/tmp/fifo")、write()スタックの内容、close()記述子。
5. リモートプロセスの状態を復元します。
6. 呼び出しプロセスからfifoデータを読み取ります。

名前付きパイプのよりエレガントな代替手段があるかもしれませんが、私は今のところ考えることができません。私がsyscallのみを使用する理由は、リモートコードインジェクションがさまざまなセキュリティ保護のために現代のシステムではかなり信頼できないためです。欠点は、リモートプロセスがsyscallを実行するまでハングすることです（ほとんどの計算を実行する一部のプログラムでは問題になる可能性があります）。

このソースファイルには、ほとんどの作業を実装する無料のコードがあります。コードに関するフィードバックを歓迎します！

別の提案。

メインのLinuxカーネルツリーで受け入れられた場合は、Christopher YeohのCross Memory Attachパッチを使用できます。たとえば、process_vm_readvのドキュメントを参照してください。

procファイルシステムを使用すると、別のプロセスのスタックを簡単に読み取ることができます（これにはルートアクセスが必要です）。/ proc / pid / memから任意に読み取る前に、/ proc / pid / mapsを参照する必要があります。このファイルの単純な読み取りは、多くのエントリを示しています。スタックとしてマークされたエントリに興味があります。これを取得したら、スタックの下限と上限を読み取る必要があります。ここで/ proc / pid / memファイルを開き、スタックの下限を探して、正しいサイズのデータ​​を読み取ります。

lsstackを試すことができます。他の成功した「別のプロセスのスタックを読み取る」プログラムと同様に、ptraceを使用します。/ proc / $ pid / mem readingを使用して動作するプログラムを取得できませんでした。論理的にはそうすべきですが、そのようにできないと思います。