重定向已经运行进程的标准输出到文件的办法（通过ptrace注入代码到其他进程并运行）

重定向已经运行进程的标准输出到文件的办法（通过ptrace注入代码到其他进程并运行）

上次看到CSDN里面有人问这个问题，我觉得用ptrace这个系统调用是可以实现的。前两天在IBM developworks看到中兴工程师写的一篇文章是用ptrace来挂钩系统调用然后获取已运行进程的网络包的，他文章里面把程序之间通讯用的网络包分离出来然后在wireshrark中分析。通过这篇文档，证实我之前的想法应该也是可行的。最近工作偷懒，就试试这个吧。

1、重定向标准输出，用dup2系统调用，dup2（file,1)把一个打开的文件描述符的复制到标准输出1去应该就可以了吧。参考“Understanding+The+Linux+Kernel+3rd.pdf” 一书关于管道使用那一章举的ls| more 例子。

2、ptrace这个系统调用功能很强大，可以用来调试进程，挂钩系统调用函数，等待。Windows上面的read/writeprocessmemory以及hook api技术都可以通过这个来实现。调试器也都可以使用这个来做了，不知道GDB是不是也是用ptrace来实现的?

我们用重定向标准输出，就用ptrace注入一段调试代码到目标进程，然后在里面调用dup2等几个函数就可以了。

3、ptrace也有一个缺陷，就是如果要attach的进程如果本来就有父进程的话，那么被我们用ptrace处理之后，他原本的父进程是没有办法再受到来自被attach进程的消息了。好像也没有办法恢复。自己看一下ptrace的文档吧，不知道我理解错了没有。反正如果目标进程有父进程的话，用这个办法难免有些影响，实际运用的时候要考虑一下。

4、代码大多从“Playing with ptrace, Part II http://www.linuxjournal.com/node/6210/print”这篇文章里面复制过来，可以去看看原文关于ptrace的用法说名吧。只是我把他本来打印“hello world”的汇编代码改为调用两个系统调用的了。

调用Linux系统调用通过int $80的80号中断来进行，调用时，其中eax存放系统中断号码，ebx ，ecx等等依次为传给系统调用的参数。系统调用返回时eax为返回值。可以参考一下“Professional+Assembly+Language.pdf” 一书关于在汇编中使用文件系统调用来操作文件的例子。

其实，好像说新的cpu可以通过sysenter指令来进入系统调用的，那个性能要比int 80要好些。大家可以试试吧。我对汇编不是很熟悉就不试了。我在virtuabox + ubuntu 10.04上面测试int $80还是可以正常工作的，可能现在系统对两种办法都还支持吧。

代码如下：

----------test.c---------------------------------------------

#include <sys/types.h>

#include <sys/stat.h>

#include <fcntl.h>

#include <unistd.h>

#include <stdio.h>

#include <stdlib.h>

#include <sys/ptrace.h>

#include <sys/types.h>

#include <sys/wait.h>

#include <asm/ptrace.h>

#include <string.h>

const int long_size = sizeof(long);

void getdata(pid_t child, long addr,

char *str, int len)

{ char *laddr;

int i, j;

union u {

long val;

char chars[long_size];

}data;

i = 0;

j = len / long_size;

laddr = str;

while(i < j) {

data.val = ptrace(PTRACE_PEEKDATA, child,

addr + i * 4, NULL);

memcpy(laddr, data.chars, long_size);

++i;

laddr += long_size;

}

j = len % long_size;

if(j != 0) {

data.val = ptrace(PTRACE_PEEKDATA, child,

addr + i * 4, NULL);

memcpy(laddr, data.chars, j);

}

str[len] = '\0';

}

void putdata(pid_t child, long addr,

char *str, int len)

{ char *laddr;

int i, j;

union u {

long val;

char chars[long_size];

}data;

i = 0;

j = len / long_size;

laddr = str;

while(i < j) {

memcpy(data.chars, laddr, long_size);

ptrace(PTRACE_POKEDATA, child,

addr + i * 4, data.val);

++i;

laddr += long_size;

}

j = len % long_size;

if(j != 0) {

memcpy(data.chars, laddr, j);

ptrace(PTRACE_POKEDATA, child,

addr + i * 4, data.val);

}

}

int main(int argc, char *argv[])

{

// int log;

// log = open("/tmp/widebright.txt",O_CREAT|O_RDWR|O_TRUNC, S_IWUSR|S_IRUSR|S_IRGRP|S_IWGRP| S_IROTH|S_IWOTH );

//printf ("result =%d\n",log);

//exit(0);

// if (log != -1){

// int result =dup2(log,1); //重定向标准输出

//if (result == -1)

// printf ("dup2 return failed\n");

//printf ("result =%d\n", write (log, "failed\n", 5));

// }

//printf("ddddd,hahahha\n");



// close (log);

/*

__asm__ (

"jmp forward\n\t"

"backward:\n\t"

"popl %esi #get path string address \n\t"

"movl $5, %eax #sys_open number arch/x86/kernel/syscall_table_32.S\n\t"

"movl %esi, %ebx\n\t"

"movl $0x242, %ecx\n\t"

"movl $0x1b6, %edx #all has read and write permissions\n\t"

"int $0x80\n\t"

"test %eax,%eax\n\t"

"js end\n\t"

"mov %eax , %ebx # parm 1\n\t"

"movl $63, %eax #sys_dup2 number arch/x86/kernel/syscall_table_32.S\n\t"

"movl $1, %ecx # parm 2\n\t "

"int $0x80\n\t"

"#jmp end\n\t"

"end:\n\t"

"int3\n\t"

"forward:\n\t"

"call backward\n\t"

".string \"/tmp/widebright.txt\"\n\t"

"#end:\n\t"

);

(gdb) x/66xb backward-2

0x8048c10 <main+53>: 0xeb 0x27 0x5e 0xb8 0x05 0x00 0x00 0x00

0x8048c18 <main+61>: 0x89 0xf3 0xb9 0x42 0x02 0x00 0x00 0xba

0x8048c20 <main+69>: 0xb6 0x01 0x00 0x00 0xcd 0x80 0x85 0xc0

0x8048c28 <main+77>: 0x78 0x0e 0x89 0xc3 0xb8 0x3f 0x00 0x00

0x8048c30 <main+85>: 0x00 0xb9 0x01 0x00 0x00 0x00 0xcd 0x80

0x8048c38 <end>: 0xcc 0xe8 0xd4 0xff 0xff 0xff 0x2f 0x74

0x8048c40 <forward+7>: 0x6d 0x70 0x2f 0x77 0x69 0x64 0x65 0x62

0x8048c48 <forward+15>: 0x72 0x69 0x67 0x68 0x74 0x2e 0x74 0x78

0x8048c50 <forward+23>: 0x74 0x00

*/

//printf("ddddd,hahahha\n");

// return 0;

pid_t traced_process;

struct pt_regs regs, newregs;

long ins;

const int len = 66;

char insertcode[] =

{0xeb, 0x27, 0x5e, 0xb8, 0x05, 0x00, 0x00, 0x00,

0x89, 0xf3, 0xb9, 0x42, 0x02, 0x00, 0x00, 0xba,

0xb6, 0x01, 0x00, 0x00, 0xcd, 0x80, 0x85, 0xc0,

0x78, 0x0e, 0x89, 0xc3, 0xb8, 0x3f, 0x00, 0x00,

0x00, 0xb9, 0x01, 0x00, 0x00, 0x00, 0xcd, 0x80,

0xcc, 0xe8, 0xd4, 0xff, 0xff, 0xff, 0x2f, 0x74,

0x6d, 0x70, 0x2f, 0x77, 0x69, 0x64, 0x65, 0x62,

0x72, 0x69, 0x67, 0x68, 0x74, 0x2e, 0x74, 0x78,

0x74, 0x00};

char backup[len];

if(argc != 2) {

printf("Usage: %s <pid to be traced>\n",

argv[0], argv[1]);

exit(1);

}

traced_process = atoi(argv[1]);

ptrace(PTRACE_ATTACH, traced_process,

NULL, NULL);

wait(NULL); //等待attach成功。目标进程被断下

ptrace(PTRACE_GETREGS, traced_process,

NULL, ®s); //获取目标进程当前的寄存器状态

getdata(traced_process, regs.eip, backup, len);

putdata(traced_process, regs.eip,

insertcode, len); //注入我们的指令到当前运行的位置。

ptrace(PTRACE_SETREGS, traced_process,

NULL, ®s);

ptrace(PTRACE_CONT, traced_process,

NULL, NULL); //继续运行

wait(NULL); //等待我们汇编代码里面的int3 调试断点。

printf("The process stopped, Putting back "

"the original instructions\n");

ptrace(PTRACE_GETREGS, traced_process,

NULL, &newregs);

// printf("\n%ld-%ld\n",regs.eip,newregs.eip);

// sleep(10);

putdata(traced_process, regs.eip, backup, len); //还原原本的代码

ptrace(PTRACE_SETREGS, traced_process,

NULL, ®s);

printf("Letting it continue with "

"original flow\n");

ptrace(PTRACE_DETACH, traced_process,

NULL, NULL);

return 0;

}

-------------写一个简单的测试例子 test2.c--------------------

#include <stdio.h>

#include <stdlib.h>

#include <unistd.h>

int main(void)

{

int i = 0;

while (i < 20000000)

{

printf("current number is %d\n",i);

i++;

sleep(5);

}

}

------------------------------------------

测试一下。

gcc test2.c -o test.exe

桌面$ ./test.exe

current number is 0

current number is 1

current number is 2

current number is 3

current number is 4

current number is 5

current number is 6

current number is 7

current number is 8

current number is 9

current number is 10

current number is 11

current number is 12

current number is 13

current number is 14

^C

-----------

桌面$ ps -ef |grep test.exe

1000 4609 3554 0 10:51 pts/0 00:00:00 ./test.exe

1000 4667 4295 0 10:52 pts/1 00:00:00 grep --color=auto test.exe

桌面$ ./a.out 4609

The process stopped, Putting back the original instructions

Letting it continue with original flow

桌面$ cat /tmp/widebright.txt

current number is 15

桌面$ cat /tmp/widebright.txt

current number is 15

current number is 16

桌面$ cat /tmp/widebright.txt

current number is 15

current number is 16

可以看到test。exe的标准输出确实被我们重定向到这个/tmp/widebright.txt文件里面去了。