修改 strace 以捕获并替换打开的系统调用中的文件名

Question

我正在尝试修改 strace 以捕获文件打开系统调用并更改实际打开的文件。例如，用户尝试： open(OUT,">input.txt"), 但是真正要打开的文件是"input.txt.version1".

当新名称的长度与旧名称的长度完全相同时，我通过使用 ptrace(PTRACE_POKEDATA, pid, addr, laddr) 取得了一些成功。我正在拦截 open.c 中的 open 调用并修改 util.c 中的 umoven 以戳而不是偷看来替换字符。

但是，当新文件名较长时，这会失败，因为它会超过原始文件名数组的长度。我真正需要做的是用指向我自己的字符串的新指针替换指向 char 数组的指针。

文件名在tcp->u_arg[0]中，也就是x86系统上的rdi寄存器。我尝试了以下变体，但没有成功：

struct user_regs_struct      x86_64_r;
uint64_t *const x86_64_rdi_ptr = (uint64_t *) &x86_64_r.rdi;
ptrace(PTRACE_POKEDATA, tcp->pid,  x86_64_rdi_ptr, &newPath);

如何用任意长度的新路径替换文件名？仅使用 ptrace 而不是修改 strace 的答案也可以。 strace 已经解决了很多其他问题。

Answer 1

不是 ptrace，也不是 strace，但您可以通过挂钩 open 函数使用 LD_PRELOAD 来做到这一点。

编辑：根据@JonathanLeffler 的评论，我试图修复钩子函数原型，以处理模式参数（如果给定的话）我不是 100% 确定这会一直有效，但它应该给出如何做到这一点的想法。

hook.c

#define _GNU_SOURCE
#include <dlfcn.h>
#include <stdio.h>
#include <string.h>
#include <sys/types.h> //mode_t
#include <stdarg.h>  //va_arg

typedef int (*pfn_open_t)(const char *pathname, int flags, mode_t mode);

int open(const char *pathname, int flags, ...)
{
    pfn_open_t o_open;
    va_list val;
    mode_t mode;
    o_open = (pfn_open_t)dlsym(RTLD_NEXT,"open");
    // Extract vararg (mode)
    va_start(val, flags);
    mode = va_arg(val, mode_t);
    va_end(val);
    if(strcmp(pathname, "origfile") == 0)
    {
         puts("opening otherfile\n");
         return o_open("otherfile", flags, mode);
    }
    else
    {
         printf("opening %s\n", pathname);
         return o_open(pathname,flags, mode);
    }
}

将代码编译为共享对象：

gcc -shared -fPIC  hook.c -o libhook.so -ldl

运行挂钩的程序：

$ LD_PRELOAD=path/to/libhook.so myprogram

修改 strace 以捕获并替换打开的系统调用中的文件名

Modifying strace to capture and replace the filename in an open syscall

c

linux

ptrace

strace