ptrace

今天突然想看看ltrace或者是strace是怎么实现的，突发奇想就这么办吧

strace ltrace ls

     看到里面或多调用ptrace就研究了一下ptrace。man了一下，然后去网上看了一个例子，函数原型
#include
     long ptrace(enum __ptrace_request request, pid_t pid, void *addr, void *data);

其中request可以是
PTRACE_PEEKUSER   操作系统在调用系统函数的时候会看一下是不是被挂载，
                                    如果被挂载的话会把当前调用系统的寄存器的值放在一个叫做user 的区域，这个结构定义在sys/usr.h
                                    ,我们通过传递需要取得的 寄存器在该结构的偏移量。
PTRACE_PEEKTEXT    获取指定地址的数据。
PTRACE_POKETEXT    填充制定地址的数据
。。。
自己稍微试试了下我的是x86_64 操作系统

#include <sys/ptrace.h>
#include <sys/types.h>
#include <sys/wait.h>
#include <unistd.h>
#include <sys/reg.h> /*在32位机器上linux/user.h可以自己搜索 */
int main()
{   pid_t child;
    long orig_rax;
    child = fork();
    if(child == 0) {
   //表明该进程会被父进程监视，如果触发了任何信号，改进程就会停止，父进程会通过wait得知。
        ptrace(PTRACE_TRACEME, 0, NULL, NULL);

        execl("/bin/ls", "ls", NULL);
    }
    else {
        wait(NULL);
        orig_rax = ptrace(PTRACE_PEEKUSER,
                          child, 8 * ORIG_RAX,//因为64位机器unsigned long 是8 byte，32位的话是4* ORIG_EAX
                          NULL);
        printf("The child made a "
               "system call %ld\n", orig_rax);
        ptrace(PTRACE_CONT, child, NULL, NULL);
    }
    return 0;
}

运行成功，我们可以通过ptrace做很过别的事情。