使用ptrace跟踪进程创建并限制单进程时pid_child值异常问题

核心原因：ptrace对fork的特殊处理与跟踪逻辑缺陷 #

你遇到的pid_child在第二次循环中变回0的问题，本质是对ptrace跟踪fork事件的机制理解不到位，加上跟踪逻辑的疏漏导致的，具体分以下几点：

1. ptrace下fork的进程状态特殊性 #

当被跟踪进程调用fork时，内核会做两个关键操作：

• 父进程暂停在fork的返回点，返回子进程PID；
• 新创建的子进程会立即进入停止状态，直到跟踪器通过ptrace(PTRACE_CONT, ...)或相关命令恢复其执行。
  如果你的代码没有正确处理子进程的停止状态，或者没有捕获孙进程的创建事件，就会出现pid_child被意外重置的情况——比如子进程fork后返回0，但你没捕获到孙进程的真实PID，反而误将子进程的返回值当成了pid_child的新值。

2. 未启用专门的fork跟踪选项 #

默认情况下，ptrace不会主动通知跟踪器进程创建事件，你需要显式设置PTRACE_O_TRACEFORK选项，让内核在进程调用fork时发送PTRACE_EVENT_FORK事件给跟踪器。如果仅靠拦截fork系统调用的返回值，很容易混淆父进程、子进程的返回结果，导致PID跟踪错误。

设置选项的代码如下：

ptrace(PTRACE_SETOPTIONS, traced_pid, 0, PTRACE_O_TRACEFORK | PTRACE_O_TRACESYSGOOD);

3. PID变量的更新逻辑错误 #

你的代码可能只在父进程第一次fork时更新了pid_child，但子进程再次fork时，没有区分事件来源：

• 父进程fork返回时，寄存器RAX的值是子进程PID；
• 子进程fork返回时，自身的RAX值是0，但此时内核已经创建了孙进程，你需要通过PTRACE_GETEVENTMSG获取孙进程的真实PID，而不是把子进程的返回值赋值给pid_child。

修复后的关键代码示例 #

以下是处理fork事件、限制仅一个子进程的核心逻辑：

#include <sys/ptrace.h>
#include <sys/wait.h>
#include <sys/syscall.h>
#include <unistd.h>
#include <stdio.h>
#include <stdlib.h>

int main(int argc, char* argv[]) {
    if (argc != 2) {
        fprintf(stderr, "Usage: %s <pid>\n", argv[0]);
        return 1;
    }
    pid_t traced_pid = atoi(argv[1]);
    pid_t allowed_child = 0;
    int status;

    // 附加到目标进程并设置跟踪选项
    ptrace(PTRACE_ATTACH, traced_pid, 0, 0);
    waitpid(traced_pid, &status, 0);
    ptrace(PTRACE_SETOPTIONS, traced_pid, 0, PTRACE_O_TRACEFORK | PTRACE_O_TRACESYSGOOD);

    while (1) {
        pid_t curr_pid = waitpid(-1, &status, 0);
        if (curr_pid == -1) break;

        if (WIFSTOPPED(status)) {
            int sig = WSTOPSIG(status);
            // 处理fork事件
            if ((sig & 0x7f) == SIGTRAP && (sig >> 8) == PTRACE_EVENT_FORK) {
                unsigned long new_child_pid;
                // 获取新创建的进程PID
                ptrace(PTRACE_GETEVENTMSG, curr_pid, 0, &new_child_pid);
                
                if (allowed_child == 0) {
                    // 允许第一个子进程执行
                    allowed_child = new_child_pid;
                    ptrace(PTRACE_CONT, new_child_pid, 0, 0);
                } else {
                    // 禁止后续子进程，直接杀死
                    ptrace(PTRACE_KILL, new_child_pid, 0, 0);
                }
                // 恢复当前进程执行
                ptrace(PTRACE_CONT, curr_pid, 0, 0);
            } else {
                // 处理其他停止信号，恢复进程执行
                ptrace(PTRACE_CONT, curr_pid, 0, sig);
            }
        } else if (WIFEXITED(status)) {
            // 如果允许的子进程退出，重置标记
            if (curr_pid == allowed_child) {
                allowed_child = 0;
            }
        }
    }
    return 0;
}

关键注意事项 #

• 必须用PTRACE_EVENT_FORK事件来捕获新进程，而不是依赖系统调用返回值，这样能准确获取所有新创建的进程PID；
• 每次处理完事件后，必须调用ptrace(PTRACE_CONT, ...)恢复对应进程的执行，否则进程会一直处于停止状态；
• 当允许的子进程退出时，记得重置allowed_child变量，以便后续可以再次允许创建子进程（如果需要）。

内容的提问来源于stack exchange，提问作者j3r3mias