straceはどのようにそれ自体を監視しますか？

Question 1

% sh -c 'exec strace -p $$'    
strace: I'm sorry, I can't let you do that, Dave.

:-)

Answer

% sh -c 'exec strace -p $$'    
strace: I'm sorry, I can't let you do that, Dave.

:-)

Question 2

私はLinuxにのみ答えます。

驚くべきことに、最新のカーネルでは、ptrace実際にトレースを実行するために使用されるシステムコールがinitプロセスを追跡することができます。straceマニュアルページには次のように記載されています。

   EPERM  The specified process cannot be traced.  This could  be  because
          the  tracer has insufficient privileges (the required capability
          is CAP_SYS_PTRACE); unprivileged  processes  cannot  trace  pro‐
          cesses  that  they  cannot send signals to or those running set-
          user-ID/set-group-ID programs, for  obvious  reasons.   Alterna‐
          tively,  the process may already be being traced, or (on kernels
          before 2.6.26) be init(8) (PID 1).

これは、バージョン2.6.26から追跡できることを意味しますinit。もちろん、これを行うにはroot権限が必要です。私のシステムのバイナリをstrace使ってそれを追跡し、init実際にそれを使ってgdb接続しinitて終了することもできます。（これを行うと、システムはすぐに停止します。）

ptraceプロセスはそれを使用してそれ自身を追跡できないため、strace選択しないと、自己追跡中に失敗し続けます。次の手順：

#include <sys/ptrace.h>
#include <stdio.h>
#include <unistd.h>
int main() {
    if (ptrace(PTRACE_ATTACH, getpid(), 0, 0) == -1) {
        perror(NULL);
    }
}

印刷Operation not permitted(つまり、）EPERM。カーネルの実行今回の宿泊ptrace.c:

 retval = -EPERM;
 if (unlikely(task->flags & PF_KTHREAD))
         goto out;
 if (same_thread_group(task, current)) // <-- this is the one
         goto out;

これで、2つのstraceプロセスが互いに追跡できます。カーネルはこれを防止せず、結果を直接観察できます。私の場合、最初のプロセス（PID = 5882）で最後に印刷された内容は次のstraceとおりです。

ptrace(PTRACE_SEIZE, 5882, 0, 0x11

そして、2番目のstraceプロセス（PID = 5890）はまったく何も印刷しません。psは、両方のプロセスが状態にあることを示していますt。proc(5)マンページによると、これはトレースが停止したことを意味します。

これが発生するのは、SIGKILLトレーサがシステムコールに入るか出るたびに停止し、シグナル（例外）が転送されようとするためです。

プロセス５８８２がすでにプロセス５８９０を追跡していると仮定する。これにより、次の一連のイベントを推論できます。

プロセス５８９０はptraceシステムコールを開始し、プロセス５８８２を追跡しようとする。プロセス５８９０がトレース停止に入る。
プロセス５８８２は、追跡SIGCHLD中のプロセス５８９０が停止したことを知らせる。（追跡された停止プロセスは「SIGTRAP」シグナルを受け取ったようです。）
プロセス５８８２は、追跡対象がシステムコールを実行したことを確認し、プロセス５８９０が実行しようとしているシステムコールに関する情報およびパラメータを忠実に印刷する。これが最後の出力です。
ptrace(PTRACE_SYSCALL, 5890, ...)プロセス5890が続くように5882呼び出しを処理します。
プロセス５８９０はトレース停止を終了し、それを実行するptrace(PTRACE_SEIZE, 5882, ...)。後者が返されると、プロセス５８９０は追跡停止に入る。
SIGCHLD追跡対象が再び停止されたため、プロセス5882が送信されました。トレース中なので、信号を受信するとトレース停止状態に入ります。

今、両方のプロセスが停止しました。終わる。

この例に示すように、2つのプロセスが互いに追跡する状況は、カーネルに本質的な論理的な困難をもたらさない。これは、おそらくカーネルコードにこの状況を防ぐためのチェックが含まれていない理由です。お互いを追跡する2つのプロセスにはあまり役に立ちません。

Answer