如何用C实现无调试器的子进程内存查看与汇编级单步执行

1. 基于ptrace的进程控制（参考Valgrind用户态拦截逻辑） #

Valgrind依赖动态二进制插桩实现指令拦截，但轻量型的汇编级单步调试，核心可以用ptrace系统调用实现父子进程的控制：

• 父进程通过fork创建子进程，子进程先调用ptrace(PTRACE_TRACEME, ...)标记自身可被跟踪，再通过execve加载目标程序。
• 父进程通过ptrace(PTRACE_SINGLESTEP, ...)指令，让子进程每执行一条汇编指令就触发暂停，配合wait等待子进程状态变更。

核心代码片段：

#include <sys/ptrace.h>
#include <sys/wait.h>
#include <unistd.h>
#include <stdio.h>

int main(int argc, char* argv[], char* envp[]) {
    if (argc < 2) {
        fprintf(stderr, "Usage: %s <target_program>\n", argv[0]);
        return 1;
    }

    pid_t pid = fork();
    if (pid == 0) {
        // 子进程：设置跟踪标记后执行目标程序
        if (ptrace(PTRACE_TRACEME, 0, NULL, NULL) == -1) {
            perror("ptrace TRACEME failed");
            return 1;
        }
        execve(argv[1], &argv[1], envp);
        perror("execve failed");
        return 1;
    } else {
        // 父进程：等待子进程初始暂停，进入单步循环
        int status;
        wait(&status);
        while (WIFSTOPPED(status)) {
            // 单步执行一条汇编指令
            if (ptrace(PTRACE_SINGLESTEP, pid, NULL, NULL) == -1) {
                break;
            }
            wait(&status);
            // 此处插入寄存器读取、变量值解析逻辑
        }
    }
    return 0;
}

2. 汇编级单步的细节处理 #

• 寄存器状态读取：通过ptrace(PTRACE_GETREGS, ...)获取子进程寄存器快照，比如x86_64架构下的rip（当前指令指针）、rbp（栈帧指针），以此确认当前执行位置和栈帧上下文。
• 系统调用拦截适配：子进程执行系统调用时会额外触发暂停，可通过ptrace(PTRACE_SYSCALL, ...)替代SINGLESTEP，或者在wait返回后判断暂停原因，区分用户态指令和内核态系统调用。

3. 变量值的获取与解析 #

要完整读取子进程变量，需要解决两个核心问题：

• 变量位置定位：目标程序必须带调试信息（编译时加-g参数），通过解析ELF文件的.debug_info、.debug_frame等段，提取变量的名称、类型、内存偏移（栈变量相对于rbp的偏移，全局变量直接取符号表地址）。可以自行解析ELF格式，或借助libelf、libdwarf库简化开发。
• 子进程内存读取：用ptrace(PTRACE_PEEKDATA, pid, addr, NULL)读取指定内存地址的值，结合变量类型（int、char*、结构体等）做格式化解析。

示例：读取栈上int类型变量

#include <sys/user.h>

struct user_regs_struct regs;
// 读取寄存器
ptrace(PTRACE_GETREGS, pid, NULL, &regs);
// 假设通过调试信息拿到变量var在栈帧的偏移为-0x10
unsigned long var_addr = regs.rbp + (-0x10);
// 读取变量值
int var_val = (int)ptrace(PTRACE_PEEKDATA, pid, var_addr, NULL);
printf("var: %d\n", var_val);

4. curses显示逻辑集成 #

• 初始化终端环境：调用initscr()、cbreak()、noecho()开启curses模式，禁用缓冲、回显。
• 分区域显示：拆分终端窗口，比如顶部显示当前汇编指令与寄存器状态，左侧显示全局变量列表，右侧显示栈变量实时值。
• 交互控制：用getch()捕获键盘输入（如n执行下一步、q退出），同步触发ptrace的单步指令。

关键挑战与注意事项 #

• 架构兼容性：x86_64和ARM的寄存器结构、指令集差异极大，需要针对目标架构做分支处理。
• 调试符号解析：ELF调试信息格式复杂，自行实现成本高，优先考虑依赖成熟的符号解析库。
• 性能损耗：单步执行+每次暂停的内存/寄存器读取会大幅降低程序运行速度，仅适合小体量程序调试。
• 权限限制：部分Linux系统默认限制ptrace调用，需修改/proc/sys/kernel/yama/ptrace_scope值或用root权限运行。

内容的提问来源于stack exchange，提问作者Tech0ne