2

При прохождении одного из онлайн тестов наткнулся на сложный вопрос. Вопрос формулируется примерно так:

Не удаётся прочитать файл /proc//mem даже из под рута из-за ошибки доступа (permission error). Как решить эту проблему? Код открывающий этот файл на чтение:

int mem_file = open("/proc/12345/mem", O_RDONLY);

Варианты ответов: 1. Использовать ptrace

ptrace(PTRACE_ATTACH, 12345, NULL, NULL);
waitpid(pid, NULL, 0);
int mem_file = open("/proc/12345/mem", O_RDONLY);
...
close(mem_file);
ptrace(PTRACE_DETACH);

2. Послать сигналы SIGSTOP/SIGCONT:

Kill(12345, SIGSTOP);
int mem_file = open("/proc/12345/mem", O_RDONLY);
...
close(mem_file);
kill(12345, SIGCONT);
  1. Проверить атрибуты исполняемого файла и удалить immutable profile.

  2. Это не работает из под рута. Нужно проверить пользовательский режим и задать разрешения.

Текст исходников приведён как есть, с сохранением опечаток в оригинале.

После чтения документации и компиляции и запуска кода, я обнаружил, что варианты 1 и 2 оба работают даже без рута. Но видимо какой-то один из них более правильный. Подскажите пожалуйста, какой из этих вариантов лучше подходит для доступа к памяти процесса?

10
  • если читал документацию, то должен понимать, что вариант (2), вообще говоря, не должен работать...
    – Fat-Zer
    Commented 27 янв. 2019 в 3:23
  • Почему же тогда файл открывается? Commented 27 янв. 2019 в 5:03
  • код в студию — или в нём ошибка, или какой-то частный случай, или что-то не так с окружением...
    – Fat-Zer
    Commented 27 янв. 2019 в 5:08
  • fmemopen()/open_memstream() ? В линуксе все есть файл. В данном случае файл виртуальный, создаётся ядром. Но, чтение первого байта /proc/pid/mem всегда приводит к ошибке ввода-вывода. Так задумано.
    – NewView
    Commented 27 янв. 2019 в 10:17
  • немного очитался в man 2 ptrace — думал, что оттуда следует, что ответ, очевидно — (1). Однако на последующих тестах заметил, что не могу воспроизвести отказ описанный в вопросе... возможно тест устарел? или это вопрос с какой-то подковыркой...
    – Fat-Zer
    Commented 27 янв. 2019 в 12:25

1 ответ 1

1

Чтение первого байта /proc/pid/mem всегда приводит к ошибке ввода-вывода. Так задумано. В этом файле надо читать со смещением. Смещение совпадает с реальным смещением в запущенной программе.

Что-бы узнать о смещениях памяти используемых программой нужно читать /proc/pid/maps, там указанны используемые регионы памяти.

Важно:

  1. вы не сможете прочитать mem файл другого работающего процесса, получите ошибку Нет такого процесса.

  2. если все же есть необходимость читать mem файл другого процесса, то необходимо присоединиться к процессу, используя ptrace() вызов. Но все не так просто, и процесс надо останавливать на время чтения.

  3. процесс, выполняющийся от имени root, может читать память любого процесса без вызова ptrace, но наблюдаемый процесс должен быть остановлен, иначе все равно получите ошибку.

Есть ещё куча нюансов при работе с виртуальными файлами ядра, рекомендую знакомиться с исходными кодами кернеля если у вас возникают вопросы.

Вот примерный сценарий на C чтения mem файла по методу номер 2:

sprintf(fname, "/proc/%d/mem", pid);
fd = open(fname, O_RDONLY);
ptrace(PTRACE_ATTACH, pid, NULL, NULL);
waitpid(pid, NULL, 0);
lseek(fd, offset, SEEK_SET);
read(fd, buffer, _SC_PAGE_SIZE);
ptrace(PTRACE_DETACH, pid, NULL, NULL);

Посмотрите на mem_open и на check_mem_permission для понимания как там все устроено.

6
  • Т.о. правильный ответ на вопрос ТС это 2) sigstop/open-read-close/sigcont
    – avp
    Commented 27 янв. 2019 в 10:49
  • Кстати, чтение должно быть как-то выровнено, или читать можно с любого смещения в странице, отображенной на физическую память (т.е. присутствующей в /proc/<PID>/maps)?
    – avp
    Commented 27 янв. 2019 в 10:56
  • Выравнивание обычно по размеру _SC_PAGE_SIZE, от офсета из map файла, главное не убежать за размер :)
    – NewView
    Commented 27 янв. 2019 в 10:58
  • 2
    про то что процесс необходимо остановить (и даже то что нужно его трассировать) — устаревшая информация, на современных ядрах (старше 3.0, ориентировочно) происходит только проверка прав доступа на основе [fs]uid/gid...
    – Fat-Zer
    Commented 27 янв. 2019 в 12:11
  • @avp, читать можно произвольными объёмами из произвольного места (в рамках адресного пространства разумеется и того что позволяет read())...
    – Fat-Zer
    Commented 27 янв. 2019 в 12:17

Ваш ответ

Нажимая «Отправить ответ», вы соглашаетесь с условиями пользования и подтверждаете, что прочитали политику конфиденциальности.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.