如何在64位进程中用ptrace修改32位进程寄存器并触发系统调用

核心问题分析 #

你遇到的问题本质是x86_64内核处理32位进程ptrace请求时，寄存器结构体的布局和传递规则与原生x86环境完全不同：

• 直接用x86_64的struct user_regs_struct时，内核会将其视为32位寄存器的扩展视图，但32位系统调用依赖的参数寄存器（ebx、ecx、edx、esi、edi、ebp）和x86_64的（rdi、rsi等）完全不对应，导致你设置的参数无法被内核正确识别。
• 直接复制x86的struct user_regs_struct会触发段错误，因为内核处理32位进程的PTRACE_SETREGS请求时，期望的寄存器结构体是适配32位模式的特定布局，不是简单的类型替换就能匹配的。

解决方案 #

1. 明确使用32位专属寄存器结构体 #

在x86_64系统中，针对32位目标进程，应使用struct user32_regs_struct（多数系统定义在<sys/user.h>或<asm/user32.h>中），这是内核为32位进程专门提供的寄存器视图。如果你的系统未直接定义，可手动适配正确布局：

struct user32_regs_struct {
    long int ebx;
    long int ecx;
    long int edx;
    long int esi;
    long int edi;
    long int ebp;
    long int eax;
    long int xds;
    long int xes;
    long int xfs;
    long int xgs;
    long int orig_eax;
    long int eip;
    long int xcs;
    long int eflags;
    long int esp;
    long int xss;
};

这个结构体的布局完全匹配内核对32位进程寄存器的存储顺序，设置时严格遵循32位系统调用规则：

• 系统调用号存入orig_eax
• 第1~6个参数依次存入ebx、ecx、edx、esi、edi、ebp

2. 动态适配架构（保证程序的架构无关性） #

在代码中通过宏判断当前主机架构，自动选择对应的寄存器结构体：

#if defined(__x86_64__)
#include <asm/user32.h>
#define REGS_T struct user32_regs_struct
#elif defined(__i386__)
#include <sys/user.h>
#define REGS_T struct user_regs_struct
#endif

// 使用示例
REGS_T regs;
ptrace(PTRACE_GETREGS, pid, NULL, &regs);
regs.orig_eax = __NR_exit; // 32位exit系统调用号
regs.ebx = 21; // 退出码参数
ptrace(PTRACE_SETREGS, pid, NULL, &regs);
ptrace(PTRACE_CONT, pid, NULL, NULL);

这样程序在x86_64主机上处理32位进程时用user32_regs_struct，在原生x86主机上直接用user_regs_struct，完美保证架构无关性。

3. 验证寄存器写入正确性 #

设置寄存器后，建议通过PTRACE_GETREGS读取寄存器值，确认orig_eax和参数寄存器是否正确写入，避免因内核版本差异导致的布局变化。

关键注意事项 #

• 32位系统调用的触发依赖orig_eax寄存器，而非eax——内核会根据orig_eax的值识别系统调用号，执行后将返回值写入eax。
• x86_64内核对32位进程的ptrace操作会自动处理寄存器的截断和扩展，只要使用正确的32位寄存器结构体，就不会出现类型不匹配的问题。

内容的提问来源于stack exchange，提问作者Jan200101