Как я читаю из/proc/$pid/mem в соответствии с Linux?

Когда Вы выполняетесь cat /proc/$$/mem переменная $$ оценен ударом, который вставляет его собственный pid. Это затем выполняется cat который имеет другой pid. Вы заканчиваете с cat попытка считать память bash, его родительский процесс. Так как непривилегированные процессы могут только считать свое собственное пространство памяти, это отклонено ядром.

Вот пример:

$ echo $$
17823

Отметьте это $$ оценивает к 17 823. Давайте посмотрим, какой процесс, который является.

$ ps -ef | awk '{if ($2 == "17823") print}'
bahamat  17823 17822  0 13:51 pts/0    00:00:00 -bash

Это - моя текущая оболочка.

$ cat /proc/$$/mem
cat: /proc/17823/mem: No such process

Здесь снова $$ оценивает к 17 823, который является моей оболочкой. cat не может считать пространство памяти моей оболочки.

Эта команда (от gdb) выводит память надежно:

gcore pid

Дампы могут быть большими, использовать -o outfile если Ваш текущий каталог не имеет достаточного количества комнаты.

Вот небольшая программа, которую я написал на C:

Использование:

memdump <pid>
memdump <pid> <ip-address> <port>

Программа использует / proc / $ pid / maps, чтобы найти все отображаемые области памяти процесса, а затем считывать эти области из / proc / $ pid / mem, по одной странице за раз. эти страницы записываются на стандартный вывод или на указанные вами IP-адрес и TCP-порт.

Код (протестирован на Android, требуются права суперпользователя):

#include <stdio.h>
#include <stdlib.h>
#include <limits.h>
#include <sys/ptrace.h>
#include <sys/socket.h>
#include <arpa/inet.h>

void dump_memory_region(FILE* pMemFile, unsigned long start_address, long length, int serverSocket)
{
    unsigned long address;
    int pageLength = 4096;
    unsigned char page[pageLength];
    fseeko(pMemFile, start_address, SEEK_SET);

    for (address=start_address; address < start_address + length; address += pageLength)
    {
        fread(&page, 1, pageLength, pMemFile);
        if (serverSocket == -1)
        {
            // write to stdout
            fwrite(&page, 1, pageLength, stdout);
        }
        else
        {
            send(serverSocket, &page, pageLength, 0);
        }
    }
}

int main(int argc, char **argv) {

    if (argc == 2 || argc == 4)
    {
        int pid = atoi(argv[1]);
        long ptraceResult = ptrace(PTRACE_ATTACH, pid, NULL, NULL);
        if (ptraceResult < 0)
        {
            printf("Unable to attach to the pid specified\n");
            return;
        }
        wait(NULL);

        char mapsFilename[1024];
        sprintf(mapsFilename, "/proc/%s/maps", argv[1]);
        FILE* pMapsFile = fopen(mapsFilename, "r");
        char memFilename[1024];
        sprintf(memFilename, "/proc/%s/mem", argv[1]);
        FILE* pMemFile = fopen(memFilename, "r");
        int serverSocket = -1;
        if (argc == 4)
        {   
            unsigned int port;
            int count = sscanf(argv[3], "%d", &port);
            if (count == 0)
            {
                printf("Invalid port specified\n");
                return;
            }
            serverSocket = socket(AF_INET, SOCK_STREAM, 0);
            if (serverSocket == -1)
            {
                printf("Could not create socket\n");
                return;
            }
            struct sockaddr_in serverSocketAddress;
            serverSocketAddress.sin_addr.s_addr = inet_addr(argv[2]);
            serverSocketAddress.sin_family = AF_INET;
            serverSocketAddress.sin_port = htons(port);
            if (connect(serverSocket, (struct sockaddr *) &serverSocketAddress, sizeof(serverSocketAddress)) < 0)
            {
                printf("Could not connect to server\n");
                return;
            }
        }
        char line[256];
        while (fgets(line, 256, pMapsFile) != NULL)
        {
            unsigned long start_address;
            unsigned long end_address;
            sscanf(line, "%08lx-%08lx\n", &start_address, &end_address);
            dump_memory_region(pMemFile, start_address, end_address - start_address, serverSocket);
        }
        fclose(pMapsFile);
        fclose(pMemFile);
        if (serverSocket != -1)
        {
            close(serverSocket);
        }

        ptrace(PTRACE_CONT, pid, NULL, NULL);
        ptrace(PTRACE_DETACH, pid, NULL, NULL);
    }
    else
    {
        printf("%s <pid>\n", argv[0]);
        printf("%s <pid> <ip-address> <port>\n", argv[0]);
        exit(0);
    }
}

Выполнить чтение с помощью bash можно также с помощьюdd(1)

Если вы используете ограниченную и базовую систему Unix, в которой нет некоторых из упомянутых выше команд (от pythonдо memdumpи тому подобное)

Вы можете использовать dd(1), который должен быть доступен в самой ограниченной среде Unix.

Пример дампа первых нескольких байтов из процесса:

$ dd if=/proc/1337/mem of=/tmp/dump bs=1 skip=$((0x400000)) count=128

, а затем вы можете прочитать его с помощью

hexdump -Cv./tmp/dump