如何通过/proc/<pid>/maps定位Linux进程中子任务（线程）的栈VMA？

我正在研究如何在Linux环境中实现指针扫描器。

我的研究结果已在Debian Bookworm（当前稳定版）和搭载自定义内核的Gentoo系统上测试，未发现差异。

在不附加调试器到目标进程的情况下，我希望能够识别每个线程/子任务栈的虚拟内存区域（VMA），这应该可以通过proc伪文件系统实现。

在Linux 4.5版本之前，/proc/[parent_tid]/maps会在路径名字段中将父任务的栈区域标记为[STACK]，将每个子任务的栈区域标记为[STACK:child_tid]。

Linux 4.5之后，只有父任务的栈区域保留[STACK]标记，子任务的栈区域不再有标记。在该变更的提交信息中，Johannes Weiner表示仍可通过查看/proc/[parent_tid]/task/[child_tid]/maps来查看子任务栈的VMA。

但这对我无效：父任务和子任务的内存区域映射完全相同，即/proc/[parent_tid]/maps ≡ /proc/[parent_tid]/task/[child_tid*]/maps，这意味着[STACK]标记始终指向同一区域。

/proc/[tid]/stat可用于查找给定任务栈底的VMA，它是第28个值（参见man 5 proc）。但同样，/proc/[parent_tid]/stat ≡ /proc/[parent_tid]/task/[child_tid*]/stat，显然子任务不会与进程中的其他任务共享栈起始地址。

clone(2)是创建新子任务的系统调用，它需要传入栈指针参数。获取栈内存最常见的方式是通过匿名mmap(2)。匿名内存映射在/proc/[tid]/maps中没有标记。通过观察一些单线程和多线程进程，匿名内存映射的数量与程序线程数直接相关。虽然此类映射并非仅用于线程栈，但我认为线程栈确实是这样分配的。每个内存映射在/proc/[tid]/maps中都有独立条目，肯定有办法确定其中哪些是子任务栈？

我哪里理解错了？

核心误解纠正 #

1. 关于/proc/[pid]/task/[tid]/maps的认知偏差
   线程共享进程的地址空间，所以不同线程的maps文件整体内容确实一致，但每个线程的maps文件中，[STACK]标记对应的是当前线程的用户态栈VMA，而非主线程的栈。你需要逐个查看每个线程的/proc/[pid]/task/[tid]/maps，每个文件里的[STACK]就是该线程自己的栈区域，其他线程的栈在这个文件里会显示为无标记的匿名映射。

2. 关于/proc/[tid]/stat的字段误解
   stat的第28个字段kstkesp是内核态栈的当前栈指针，并非用户态线程栈的起始地址。用户态栈的关键信息在/proc/[tid]/status文件中：

   • StackStart：用户态栈的起始地址（栈是向下增长的，所以这个是栈的最高地址）
   • StackSize：用户态栈的大小

可行的子线程栈VMA识别方法 #

1. 逐个线程查看maps
   遍历目标进程的所有线程（/proc/[pid]/task/下的所有子目录），对每个线程的/proc/[pid]/task/[tid]/maps文件，找到标记为[STACK]的VMA，这就是该线程的栈区域。

2. 结合status与maps匹配
   对每个线程读取/proc/[tid]/status中的StackStart和StackSize，计算出栈的地址范围（StackStart - StackSize 到 StackStart），然后在/proc/[pid]/maps中匹配对应的地址区间，即可找到该线程栈的VMA条目。

3. 分析匿名映射特征辅助筛选
   线程栈通常是通过匿名mmap分配的，具备以下特征：

   • 路径字段为空或显示anon_inode:[anon_vma]
   • 权限通常为rw-p（现代Linux默认移除了栈的执行权限，防止栈溢出攻击）
   • 大小等于系统默认线程栈大小（可通过ulimit -s查看，默认多为8MB）
     结合StackStart的地址信息，就能精准定位到对应的栈VMA。

内容的提问来源于stack exchange，提问作者vykt