В Unix-подобните операционни системи комуникацията на програмата с външния свят и операционната система става чрез малък набор от функции — системни повици. Следователно, за отстраняване на грешки, е полезно да се наблюдават изпълняваните процеси чрез системни повици.

Утилитата, която помага за следене на 'интимния живот' на програмите в Linux, strace, е предмет на тази статия. Примери за използване на 'шпионски' инструменти включват кратка история strace и описание на устройството на подобни програми.

Съдържание

• Произход на видовете
• Устройството на strace в два думи: Piglet Trace
• Основи: стартиране на програма под управлението на strace
• Основи: присъединяване към процес на лето
• Пример: следене на дочерни процеси
• Пример: пътища към файлове вместо дескриптори
• Пример: следене на обращения към файлове
• Пример: многопоточни програми
• Майсторски клас: стек на процеса в момента на системния повик
• Майсторски клас: инжекция на грешки
• Следсловие

Произход на видовете

Основният интерфейс между програмите и ядрото на ОС в Unix са системните повици (англ. system calls, syscalls), взаимодействието на програмите с външния свят става единствено чрез тях.

Но в първата публична версия на Unix (Version 6 Unix, 1975 година) нямаше удобни начини за проследяване поведението на потребителските процеси. За решаване на този проблем, Bell Labs в следващата версия (Version 7 Unix, 1979 година) предложиха нов системен повик — ptrace.

Ptrace беше разработен предимно за интерактивни дебъгери, но в края на 80-те (в ерата на комерсиалния вече System V Release 4) на базата на него се появиха и получиха широко разпространение насочени дебъгери — трасировчици на системни повици.

Първата версия на strace беше публикувана от Пол Кроненбург в разпратката comp.sources.sun през 1992 година като алтернатива на затворената утилита trace от Sun. Как клона, така и оригинала бяха предназначени за SunOS, но до 1994 година strace беше портирована на System V, Solaris и нарастващия по популярност Linux.

Днес strace поддържа само Linux и разчита на всичко същото ptrace, което е натрупало множество разширения.

Съвременният (и доста активен) поддържащ strace — Дмитрий Левин. Благодарение на него утилитата придоби напреднали възможности като инжекция на грешки в системните повици, поддръжка на широк спектър от архитектури и, най-важното, маскот.. Неофициални източници твърдят, че изборът е паднал върху щрауса заради звучността на руската дума "страус" и английското "strace".

Също така е важно, че системният повик ptrace и трасировчиците така и не бяха включени в POSIX, въпреки дългата си история и наличието на реализации в Linux, FreeBSD, OpenBSD и традиционни Unix.

Устройството на strace в два думи: Piglet Trace

"You are not expected to understand this" (Денис Ричи, коментар в изходния код на Version 6 Unix)

От ранно детство мразя черните кутии: с играчките не играех, а се опитвах да разбера устройството им (възрастните ползваха думата "чупех", но не вярвайте на злите езици). Вероятно затова ми е толкова близка неформалната култура на ранния Unix и съвременното open-source движение.

В рамките на тази статия разглеждането на изходния код на стресирания strace не е разумно. Но и тайни за читателите не трябва да остават. Затова, за да покажа принципа на работа на подобни програми strace, ще приведу кода на миниатюрен трасировчик — Piglet Trace (ptr). Нищо особено не умее да прави, но най-важното — системните повици на програмата — извежда:

$ gcc examples/piglet-trace.c -o ptr
$ ptr echo test > /dev/null
BRK(12) -> 94744690540544
ACCESS(21) -> 18446744073709551614
ACCESS(21) -> 18446744073709551614
unknown(257) -> 3
FSTAT(5) -> 0
MMAP(9) -> 140694657216512
CLOSE(3) -> 0
ACCESS(21) -> 18446744073709551614
unknown(257) -> 3
READ(0) -> 832
FSTAT(5) -> 0
MMAP(9) -> 140694657208320
MMAP(9) -> 140694650953728
MPROTECT(10) -> 0
MMAP(9) -> 140694655045632
MMAP(9) -> 140694655070208
CLOSE(3) -> 0
unknown(158) -> 0
MPROTECT(10) -> 0
MPROTECT(10) -> 0
MPROTECT(10) -> 0
MUNMAP(11) -> 0
BRK(12) -> 94744690540544
BRK(12) -> 94744690675712
unknown(257) -> 3
FSTAT(5) -> 0
MMAP(9) -> 140694646390784
CLOSE(3) -> 0
FSTAT(5) -> 0
IOCTL(16) -> 18446744073709551591
WRITE(1) -> 5
CLOSE(3) -> 0
CLOSE(3) -> 0
unknown(231)
Tracee terminated

Piglet Trace разпознава около стотици системни повикове на Linux (вж. таблицата) и работи само на архитектурата x86-64. За учебни цели това е достатъчно.

Нека разгледаме работата на нашия клон. В случай на Linux, за дебъгерите и трасировчиците се използва, както споменахме по-горе, системният повик ptrace. Той работи, като предава в първия аргумент идентификаторите на командите, от които ни трябват само PTRACE_TRACEME, PTRACE_SYSCALL и PTRACE_GETREGS.

Работата на трасировчика започва по обичайния Unix стил: fork(2) стартира дочерен процес, а той от своя страна с помощта на exec(3) стартира изследваната програма. Единствената тънкост тук е извикването на ptrace(PTRACE_TRACEME) преди exec: процесът-потомък очаква, че процесът-родител ще го наблюдава:

pid_t child_pid = fork();
switch (child_pid) {
case -1:
    err(EXIT_FAILURE, "fork");
case 0:
    /* Child here */
    /* Режим трассировки должен быть включен. Родитель должен будет подождать(2) за это, */
    ptrace(PTRACE_TRACEME, 0, NULL, NULL);
    /* Заменить себя программой для выполнения. */
    execvp(argv[1], argv + 1);
    err(EXIT_FAILURE, "exec");
}

Процесът-родител сега трябва да извика wait(2) в дочерния процес, то есть да се увери, че превключването в режим на трасировка е станало:

/* Parent */

/* First we wait for the child to set the traced mode (see
 * ptrace(PTRACE_TRACEME) above) */
if (waitpid(child_pid, NULL, 0) == -1)
    err(EXIT_FAILURE, "traceme -> waitpid");

На този етап подготовката приключва и можем да преминем към наблюдение на системните повици в безкраен цикъл.

Извикване ptrace(PTRACE_SYSCALL) гарантира, че последващият wait на родителя приключи или преди изпълнението на системния повик, или веднага след неговото завършване. Между двете извиквания може да осъществим действия: да заменим повика с алтернативен, да променим аргументите или връщаната стойност.

Достатъчно е да извикаме командата два пъти ptrace(PTRACE_GETREGS), за да получим състоянието на регистра rax преди повика (номер на системния повик) и веднага след (върната стойност).

Всъщност, цикълът:

/* A system call tracing loop, one interation per call. */
for (;;) {
    /* A non-portable structure defined for ptrace/GDB/strace usage mostly.
     * It allows to conveniently dump and access register state using
     * ptrace. */
    struct user_regs_struct registers;

    /* Enter syscall: continue execution until the next system call
     * beginning. Stop right before syscall.
     *
     * It's possible to change the system call number, system call
     * arguments, return value or even avoid executing the system call
     * completely. */
  if (ptrace(PTRACE_SYSCALL, child_pid, NULL, NULL) == -1)
      err(EXIT_FAILURE, "enter_syscall");
  if (waitpid(child_pid, NULL, 0) == -1)
      err(EXIT_FAILURE, "enter_syscall -> waitpid");

  /* According to the x86-64 system call convention on Linux (see man 2
   * syscall) the number identifying a syscall should be put into the rax
   * general purpose register, with the rest of the arguments residing in
   * other general purpose registers (rdi,rsi, rdx, r10, r8, r9). */
  if (ptrace(PTRACE_GETREGS, child_pid, NULL, &registers) == -1)
      err(EXIT_FAILURE, "enter_syscall -> getregs");

  /* Note how orig_rax is used here. That's because on x86-64 rax is used
   * both for executing a syscall, and returning a value from it. To
   * differentiate between the cases both rax and orig_rax are updated on
   * syscall entry/exit, and only rax is updated on exit. */
  print_syscall_enter(registers.orig_rax);

  /* Exit syscall: execute of the syscall, and stop on system
   * call exit.
   *
   * More system call tinkering possible: change the return value, record
   * time it took to finish the system call, etc. */
  if (ptrace(PTRACE_SYSCALL, child_pid, NULL, NULL) == -1)
      err(EXIT_FAILURE, "exit_syscall");
  if (waitpid(child_pid, NULL, 0) == -1)
      err(EXIT_FAILURE, "exit_syscall -> waitpid");

  /* Retrieve register state again as we want to inspect system call
   * return value. */
  if (ptrace(PTRACE_GETREGS, child_pid, NULL, &registers) == -1) {
      /* ESRCH is returned when a child terminates using a syscall and no
       * return value is possible, e.g. as a result of exit(2). */
      if (errno == ESRCH) {
          fprintf(stderr, "nTracee terminatedn");
          break;
      }
      err(EXIT_FAILURE, "exit_syscall -> getregs");
  }

  /* Done with this system call, let the next iteration handle the next
   * one */
  print_syscall_exit(registers.rax);
}

Това е целият трасовик. Сега знаете откъде да започнете новото портирование DTrace на Linux.

Основи: стартиране на програма под управлението на strace

Като първи пример за използване strace, вероятно, си струва да приведем най-простия начин — стартиране на приложение под управлението на strace.

За да не се ровим в безкраен списък от повици на типична програма, ще напишем минимална програма около write:

int main(int argc, char *argv[])
{
    char str[] = "write me to stdoutn";
    /* write(2) е прост обвивен около системен повик, така че трябва да е лесно да
     * бъде открит в трасето на системния повик. */
    if (sizeof(str) != write(STDOUT_FILENO, str, sizeof(str))){
        perror("write");
        return EXIT_FAILURE;
    }
    return EXIT_SUCCESS;
}

Нека съберем програмата и да се уверим, че работи:

$ gcc examples/write-simple.c -o write-simple
$ ./write-simple
write me to stdout

И накрая, нека я стартираме под управлението на strace:

$ strace ./write-simple
pexecve("./write", ["./write"], 0x7ffebd6145b0 /* 71 vars */) = 0
brk(NULL)                               = 0x55ff5489e000
access("/etc/ld.so.nohwcap", F_OK)      = -1 ENOENT (No such file or directory)
access("/etc/ld.so.preload", R_OK)      = -1 ENOENT (No such file or directory)
openat(AT_FDCWD, "/etc/ld.so.cache", O_RDONLY|O_CLOEXEC) = 3
fstat(3, {st_mode=S_IFREG|0644, st_size=197410, ...}) = 0
mmap(NULL, 197410, PROT_READ, MAP_PRIVATE, 3, 0) = 0x7f7a2a633000
close(3)                                = 0
access("/etc/ld.so.nohwcap", F_OK)      = -1 ENOENT (No such file or directory)
openat(AT_FDCWD, "/lib/x86_64-linux-gnu/libc.so.6", O_RDONLY|O_CLOEXEC) = 3
read(3, "177ELF2113        3 >