跟踪加载到linux上内存中的映像的内存地址

Question

每当linux上的映像加载到内存中时，我都试图跟踪信息。理想情况下，我需要

• 整个过程的pid，
• 事件的时间戳，
• 从加载图像的位置开始，
• 以及内存中加载图像的位置。

我已经设法使用linux上可用的open_exec跟踪点获得pid、时间戳和路径，但在跟踪加载映像的内存位置时遇到了问题。有什么建议(跟踪点，标记，系统，等等)，我怎么能追踪这个？

Answer 1

一种方法可以是跟踪所有mmap(2)调用，其方式类似于strace(1)跟踪调用(srace使用ptrace(2) API)。您可以通过查看使用strace (some command) 2> FOO和grep mmap FOO看到的strace来测试自己。

mmap2(NULL, 40654, PROT_READ, MAP_PRIVATE, 3, 0) = 0xb80e5000
mmap2(NULL, 4096, PROT_READ|PROT_WRITE, MAP_PRIVATE|MAP_ANONYMOUS, -1, 0) = 0xb80e4000
mmap2(0x724000, 37456, PROT_READ|PROT_EXEC, MAP_PRIVATE|MAP_DENYWRITE, 3, 0) = 0x724000
mmap2(0x72c000, 8192, PROT_READ|PROT_WRITE, MAP_PRIVATE|MAP_FIXED|MAP_DENYWRITE, 3, 0x7) = 0x72c000
mmap2(0x27e000, 117704, PROT_READ|PROT_EXEC, MAP_PRIVATE|MAP_DENYWRITE, 3, 0) = 0x27e000
mmap2(0x299000, 8192, PROT_READ|PROT_WRITE, MAP_PRIVATE|MAP_FIXED|MAP_DENYWRITE, 3, 0x1a) = 0x299000
mmap2(0x697000, 17008, PROT_READ|PROT_EXEC, MAP_PRIVATE|MAP_DENYWRITE, 3, 0) = 0x697000
mmap2(0x69b000, 4096, PROT_READ|PROT_WRITE, MAP_PRIVATE|MAP_FIXED|MAP_DENYWRITE, 3, 0x3) = 0x69b000

您有每个描述符的对应文件名(来自open(2))，mmap(2)的返回值将是在内存中映射图像的地址。

根据您如何拦截进程，您还可以在dlopen上插入一个钩子，尽管上面的内容应该足够了。