扫描调用进程的内存

Question

我必须在 C 中扫描调用进程的内存空间。这是作业。我的问题是我不完全理解虚拟内存寻址。

我正在通过尝试读取和写入内存地址来扫描内存空间。我不能使用 proc 文件或任何其他方法。

所以我的问题是设置指针。

据我了解，“用户模式空间”从地址 0x0 开始，但是，如果我将函数的起点设置为 0x0，那么我不是在扫描当前进程的地址空间吗？您如何建议调整指针（如果有的话）以寻址父进程地址空间？

编辑：好的，很抱歉造成混乱，感谢您的帮助。我们不能使用 proc 文件系统，因为分配是为了让我们了解信号。

所以，基本上我将尝试读取然后写入每个内存页中的地址，以测试它是否为R、RW 或不可访问。为了看看我是否成功，我将倾听某些信号——我还不确定如何去做那部分。我将创建一个结构链表来表示内存的可访问性。该程序将被编译为 32 位程序。

关于父进程和子进程：确切的文本状态

调用时，函数会扫描调用进程的整个内存区域...

也许我对孩子和父母的互动有误，因为我们已经在课堂上讨论过这个（fork 函数等），所以我假设我的函数将扫描一个父进程。我将要求教授澄清。

所以，从这张图片来看，我只是从 0x0 开始。

Answer 1

从用户态进程的角度来看，它的地址 space 从地址 0x0 开始，但并非该空间中的每个地址都对进程有效或可访问。特别是，地址0x0 本身绝不是有效地址。如果一个进程试图访问实际上并未分配给该进程的内存（在其地址空间中），则会产生分段。

您实际上可以使用分段错误行为来帮助您确定地址空间的哪些部分实际上分配给了进程。为SIGSEGV 安装一个信号处理程序，然后跳过整个空间，尝试从每一页的某个地方读取一些内容。每次捕获 SIGSEGV 时，您都知道该页面未映射到您的进程。之后返回并扫描每个可访问的页面。

不过，只能阅读。不要尝试写入随机内存，因为程序可访问的大部分内存是程序本身及其使用的共享库的二进制代码。您不仅不想让程序崩溃，而且大部分内存可能被标记为进程只读。

编辑：一般来说，一个进程只能访问它自己的（虚拟）地址空间。然而，正如@cmaster 所观察到的，有一个系统调用（ptrace()）允许一些进程在被观察进程的地址空间的上下文中访问其他一些进程的内存。这就是通用调试器通常的工作方式。

Answer 2

您可以（从您的程序中）读取/proc/self/maps 文件。首先在终端中尝试以下两个命令

 cat /proc/self/maps
 cat /proc/$$/maps

^{（至少要明白什么是地址空间）}

然后阅读proc(5)、mmap(2)，当然还有关于processes、address space、virtual memory、MMU、shared memory、VDSO的维基页面。

如果要在两个进程之间共享内存，请先阅读shm_overview(7)

如果你不能使用/proc/（很遗憾）考虑mincore(2)

您也可以不可移植地尝试从某个地址读取（并可能使用volatile int* 重写相同的值）并捕获SIGSEGV 信号（在信号处理程序中使用sigsetjmp(3) )，并在-dichotomical-循环中执行此操作（以4Kbytes的倍数）-从一些合理的开始和结束地址（当然不是从0开始，但可能从(void*)0x10000到(void*)0xffffffffff600000） 见signal(7)。

您还可以使用特定于 Linux (Gnu libc) 的 dladdr(3)。还请查看ptrace(2)（应该经常从一些其他进程中使用）。

另外，您可以研究elf(5) 并阅读您自己的可执行文件ELF。通常它是/proc/self/exe（符号链接），但您应该能够从您的main 的argv[0] 中获取它（也许约定您的程序应该以其完整路径名开始）。

注意ASLR 并在您的老师允许的情况下禁用它。

PS。我不知道你的老师对你有什么期望。

Answer 3

这比乍看之下要困难一些。在 Linux 中，每个进程都有自己的内存空间。使用任意内存地址仅指向该进程的内存空间。然而，有一些机制允许一个进程访问另一个进程的内存区域。某些 Linux 功能允许使用此共享内存 功能。例如看看 this link 给出了在 Linux 下使用shmget、shmctl 和其他系统调用的一些示例。也可以搜索mmap系统调用，用于将文件映射到进程的内存中，也可以用于访问另一个进程的内存。