前言

我们日常开发中，永远离不开debug调试，断点技术一直是我们排查bug的有力手段之一！随着网络安全意识的逐步提高，对app安全的要求就越来越高，反调试 （有朋友不太了解这个概念，这里我解释一下，就是通过调试技术，比如我们可以反编译某个apk，即使apk是release包，同样也可以进行反编译后调试，比如最新版本的jadx）的技术也渐渐深入我们开发者的眼帘，那么我们来具体看看，android中，同时也是linux内核中，是怎么处理调试程序的！

执行跟踪

无论是断点还是其他debug手段，其实都可以总结为一个技术手段，就是执行跟踪，含义就是一个程序监视另一个程序的技术，被跟踪的程序通过一步步执行，知道收到一个信号或者系统调用停止！

在linux内核中，就是通过ptrace系统调用进行的执行跟踪

#include 
long ptrace(enum __ptrace_request request, pid_t pid, void *addr, void *data);

随着我们对linux的了解，那么就离不开对权限的讨论！一个程序跟踪另一个程序这种东西，按照linux风格，肯定是具有某种权限才可以执行！这个权限就是设置了CAP_SYS_PTRACE 权限的进程，就可以跟踪系统中除了init进程（linux第一个进程）外的任何进程！当然！就算一个进程没有CAP_SYS_PTRACE权限，也可以跟踪一个与被监视进程有相同属组的进程，比如父进程可以通过ptrace跟踪子进程！执行跟踪还有一个非常重要的特点，就是两个进程不能同时跟踪一个进程！

我们再回到ptrace函数调用，可以看到第一个参数是一个枚举值，其实就是发出ptrace的当前行为，它有以下可选命令（仅部分举例）：

其他的参数含义如下： pid参数标识目标进程，addr参数表明执行peek（读操作）和poke（写操作）操作的地址，data参数则对于poke操作，指明存放数据的地址，对于peek操作，指明获取数据的地址。

ptrace设计探讨

我们了解了linux提供的系统api，那么我们还是从设计者角度出发，我们想要跟踪一个进程的话，我们需要干点什么？来来来，我们来想一下，可能就会有以下几个问题吧

1. 被跟踪进程与跟踪进程怎么建立联系

2. 如果使程序停止在我们想要停止的点（比如断点）

3. 跟踪进程与被跟踪进程怎么进行数据交换，又或者我们怎么样看到被跟踪进程中当前的数据

下面我们逐步去探讨一下这几个问题吧！（以PTRACE_ATTACH 作为例子）首先对于问题1，我们怎么建立起被跟踪进程与跟踪进程之间的联系呢？linux中进程存在父子关系，兄弟关系对吧！这些进程就可以通过相对便捷的方式进行通信，同时linux也有定义了特殊的信号提供给父子进程的通信。看到这里，相信大家能够猜到ptrace究竟干了啥！就是通过调用ptrace系统调用，把被跟踪进程（第二个参数pid）的进程描述符号中的p_pptr字段指向了跟踪进程！毕竟linux判断进程的描述，就靠着进程描述符，想要建立父子关系，修改进程描述符即可，就这么简单！这里补充一下部分描述符号：

那么好！我们建立进程之间的联系了，那么当执行跟踪终止的时候，我们就可以调用ptrace 第一个参数为PTRACE_DETACH 命令，把p_pptr恢复到原来的数据即可！（那么有人会问，原来的父进程描述符保存在哪里了，嘿嘿，在p_opptr中，也就是他的祖先中，这里我们不深入讨论）

接下来我们来讨论一下问题2和问题3，怎么使程序停止呢？（这里我们讨论常用的做法，以linux内核2.4版本为准，请注意细微的区别）其实就是被监控进程在读取指令前，就会执行被嵌入的监控代码，如果我想要停止在代码的某一行，这个时候cpu会执行一条“陷阱指令”也称为Debug指令（这里可以采用架构相关的指令或者架构无关的指令实现，比如SIGTRAP或者其他规定信号），一般来说，这条指令作用只是为了使程序停止，然后发出一个SIGCHLD信号给父进程（不了解信号的知识可以看看这篇），嘿嘿，那么这个父进程是谁呢？没错，就是我们刚刚改写的监控进程，这样一来，我们的监控进程就能够收到被监控进程的消息，此时就可以继续调用其他的ptrace调用（第一个参数指定为其他需要的枚举值），查看当前寄存器或者其他的数据

这么说下来可能会有人还是不太懂，我们举个例子，我们的单步调试是怎么样做的： 还是上面的步骤，子进程发送一个SIGCHLD给父进程，此时身为父进程的监控线程就可以再调用ptrace(PTRACE_SINGLESTEP, *, *, * ）方法给子进程的下一条指令设置陷阱指令，进行单步调试，此时控制权又会给到子进程，子进程执行完一个指令，就会又发出SIGCHLD给父进程，如此循环下去！

反调试

最近隐私合规与app安全性能被各大app所重视，对于app安全性能来说，反调试肯定是最重要的一环！看到上面的这些介绍，我们应该也明白了ptrace的作用，下面我们介绍一下几种常见的反调试方案：

1. ptrace占位：利用ptrace的机制，我们知道一个进程只能被一个监控进程所监控，所以我们可以提前初始化一个进程，用这个进程对我们自身app的进程调用一次ptrace即可

2. 轮询进程状态：可以通过轮训的手段，查看进程当前的进程信息：proc/pid/status

Name: test\
Umask: 0022\
State: D (disk sleep)-----------------------表示此时线程处于sleeping，并且是uninterruptible状态的wait。

Tgid: 157-----------------------------------线程组的主pid\
Ngid: 0\
Pid: 159------------------------------------线程自身的pid\
PPid: 1-------------------------------------线程组是由init进程创建的。\
TracerPid: 0\                              **这里是关键**
Uid: 0 0 0 0\
Gid: 0 0 0 0\
FDSize: 256---------------------------------表示到目前为止进程使用过的描述符总数。\
Groups: 0 10 \
VmPeak: 1393220 kB--------------------------虚拟内存峰值大小。\
VmSize: 1390372 kB--------------------------当前使用中的虚拟内存，小于VmPeak。\
VmLck: 0 kB\
VmPin: 0 kB\
VmHWM: 47940 kB-----------------------------RSS峰值。\
VmRSS: 47940 kB-----------------------------RSS实际使用量=RSSAnon+RssFile+RssShmem。\
RssAnon: 38700 kB\
RssFile: 9240 kB\
RssShmem: 0 kB\
VmData: 366648 kB--------------------------进程数据段共366648KB。\
VmStk: 132 kB------------------------------进程栈一共132KB。\
VmExe: 84 kB-------------------------------进程text段大小84KB。\
VmLib: 11488 kB----------------------------进程lib占用11488KB内存。\
VmPTE: 1220 kB\
VmPMD: 0 kB\
VmSwap: 0 kB\
Threads: 40-------------------------------进程中一个40个线程。\
SigQ: 0/3142------------------------------进程信号队列最大3142，当前没有pending

如果TracerPid不为0，那么就存在被监控的进程，此时如果该进程不是我们所信任的进程，就调用我们指定好的程序重启即可！读取这个proc/pid/status文件涉及到的相关处理可以自行google，这里就不再重复列举啦！

总结

看到这里，我们也能够明白debug在linux内核中的处理流程啦！最后，点个赞再走呗！

作者：Pika
来源：juejin.cn/post/7132438417970823176