无源码场景下，如何嗅探进程读取的环境变量？

当然有办法搞定这个问题！其实程序读取环境变量的行为本质上是调用标准库的相关函数（比如getenv）或者直接访问进程内存里的环境变量块，我们完全可以用系统调用/库函数追踪工具来抓这些操作，就像你用strace看文件那样。下面给你几个实用的方案，按易用性排序：

1. 用ltrace直接追踪库函数调用（最直观） #

ltrace是专门用来追踪用户态库函数调用的工具，比strace更适合抓环境变量读取的场景——因为getenv这类获取环境变量的函数都是标准库提供的，ltrace能直接输出函数名和参数。

• 如果是从启动时开始追踪：

  ltrace -e getenv,putenv,setenv ./your_process
  

  运行后你会看到类似这样的输出：

  getenv("PATH") = "/usr/local/sbin:/usr/local/bin:/usr/sbin:/usr/bin"
  getenv("CONFIG_FILE") = "/etc/app/config.ini"

• 如果进程已经在运行，附加到它的PID：

  ltrace -p <进程PID> -e getenv
  

  这样就能实时看到进程后续读取的环境变量了。

2. 用strace追踪相关调用 #

如果你的系统没有ltrace，strace也能搞定，只是需要针对性过滤。因为getenv这类函数虽然是用户态的，但strace可以追踪到它的调用，或者追踪进程对环境变量内存块的访问：

• 追踪getenv函数调用：

  strace -x -s 1024 -e trace=getenv ./your_process
  

  -x会打印非ASCII字符，-s设置输出字符串的长度，避免截断。

• 如果进程是通过父进程启动的（比如由shell或其他程序exec出来），记得加-f参数追踪子进程：

  strace -f -e trace=getenv parent_program
  

3. 用GDB附加到运行中的进程调试 #

如果进程已经在运行，且你需要更精准的调试，GDB是个好选择：

1. 附加到目标进程：

   gdb -p <进程PID>
   

2. 在getenv函数上设置断点：

   break getenv
   

3. 让进程继续运行：

   continue
   

4. 每次触发断点时，查看当前调用getenv的参数（也就是要读取的环境变量名）：

   print (char *) $rdi  # x86_64架构下，第一个参数存在rdi寄存器
   print (char *) $ebx  # 32位架构下，第一个参数存在ebx寄存器
   

   这样就能精准看到进程每次读取的环境变量。

4. 用perf工具记录函数调用 #

如果你需要统计一段时间内进程读取的环境变量，perf工具可以帮你记录调用情况：

1. 记录getenv函数的调用：

   perf record -e 'libc:getenv' -p <进程PID>
   

2. 查看记录的结果：

   perf script
   

   输出里会包含每次调用getenv的时间和参数信息。

注意事项 #

• 如果目标进程是静态编译的，ltrace可能无法追踪（因为没有动态链接的标准库），这时候优先用strace或GDB。
• 有些程序可能会直接访问进程内存里的environ全局变量来读取环境变量，这种情况用strace追踪内存访问或者GDB打印environ变量也能看到，但断点追踪getenv还是更精准。
• 如果你没有进程的启动权限，只能附加到运行中的进程，记得确保你有足够的权限（比如root用户）。

内容的提问来源于stack exchange，提问作者gurghet