C语言中Ptrace的void* addr含义及RIP相关使用疑问

1. 为什么要将RIP乘以8？ #

在x86_64架构的Linux系统中，使用ptrace(PTRACE_PEEKUSER)读取子进程寄存器时，addr参数代表用户态寄存器保存区的字节偏移量：

• <sys/reg.h>中定义的RIP是寄存器的索引值（你这里为16），表示RIP在寄存器列表中的位置序号；
• x86_64的通用寄存器都是64位（占8字节），要定位RIP在寄存器保存区的具体位置，需要用索引值乘以单个寄存器的字节长度，得到对应的字节偏移。

公式很直接：寄存器偏移 = 寄存器索引 × 单个寄存器字节数，所以RIP的偏移就是16 × 8 = 128。

2. 128作为void* addr参数是否有效？ #

完全有效，核心是要明确ptrace的addr参数是随请求类型变化的多用途参数：

• 当请求为PTRACE_PEEKTEXT/PTRACE_PEEKDATA时，addr是目标进程的真实内存地址，需传入合法指针；
• 当请求为PTRACE_PEEKUSER时，addr会被内核当作寄存器保存区的字节偏移量处理，而非内存地址。

在C语言中，整数可以合法转换为void*类型（128是8的倍数，满足x86_64的地址对齐要求），内核会自动将这个值解析为偏移量，从而读取对应寄存器的内容。

补充：ptrace的addr参数的多态性 #

void* addr的含义完全由传入的__ptrace_request决定：

• PTRACE_PEEKUSER/PTRACE_POKEUSER：寄存器保存区的字节偏移；
• PTRACE_PEEKTEXT/PTRACE_PEEKDATA/PTRACE_POKETEXT/PTRACE_POKEDATA：目标进程的虚拟内存地址；
• PTRACE_ATTACH/PTRACE_DETACH等：该参数被忽略，通常传NULL。

你写的代码：

unsigned long ip = ptrace(PTRACE_PEEKUSER, child, 8 * RIP, NULL);

是完全正确的写法，通过计算偏移量能准确读取子进程的RIP寄存器值。

内容的提问来源于stack exchange，提问作者user19415746