Действительно ли возможно использовать dd для клонирования только части жесткого диска, который используется?

Если Вы хотите ограничить себя обнаружением ELF, можно прочитать заголовок ELF /proc/$PID/exe самостоятельно. Это довольно тривиально: если 5-й байт в файле равняется 1, это - 32-разрядный двоичный файл. Если это 2, это является 64-разрядным. Для добавленной проверки исправности:

1. Если первые 5 байтов 0x7f, "ELF", 1: это - двоичный файл ELF на 32 бита.
2. Если первые 5 байтов 0x7f, "ELF", 2: это - двоичный файл ELF на 64 бита.
3. Иначе: это неокончательно.

Вы могли также использовать objdump, но это устраняет Ваш libmagic зависимость и замены это с a libelf один.

Иначе: можно также проанализировать /proc/$PID/auxv файл. Согласно proc(5):

Это содержит содержание информации об интерпретаторе ELF, переданной процессу в исполнительное время. Формат является одним неподписанным длинным идентификатором плюс одно неподписанное длинное значение для каждой записи. Последняя запись содержит два нуля.

Значения unsigned long ключи находятся в /usr/include/linux/auxvec.h. Вы хотите AT_PLATFORM, который является 0x00000f. Не заключайте мне в кавычки на этом, но кажется, что значение должно быть интерпретировано как a char * получить строковое описание платформы.

Можно найти этот вопрос о StackOverflow полезным.

Еще один путь: можно сообщить динамическому компоновщику (man ld) вывести информацию об исполняемом файле. Это распечатывает к стандартному выводу декодируемую структуру AUXV. Предупреждение: это - взлом, но он работает.

LD_SHOW_AUXV=1 ldd /proc/$SOME_PID/exe | grep AT_PLATFORM | tail -1

Это покажет что-то как:

AT_PLATFORM:     x86_64

Я попробовал его на 32-разрядном двоичном файле и добрался i686 вместо этого.

Как это работает: LD_SHOW_AUXV=1 дает Динамическому Компоновщику команду выводить декодируемую структуру AUXV прежде, чем выполнить исполняемый файл. Если Вам действительно не нравится делать Вашу жизнь интересной, Вы не хотите на самом деле работать, сказал исполняемый файл. Один способ загрузиться и динамично связать его, на самом деле не называя main() функция состоит в том, чтобы работать ldd(1) на нем. Оборотная сторона: LD_SHOW_AUXV включен оболочкой, таким образом, Вы получите дампы структур AUXV для: подоболочка, ldd, и Ваш целевой двоичный файл. Так мы grep для AT_PLATFORM, но только сохраняют последнюю строку.

Парсинг auxv: если Вы анализируете auxv структура самостоятельно (не полагающийся на динамический загрузчик), затем существует что-то вроде загадки: auxv структура следует правилу процесса, который это описывает, таким образом, sizeof(unsigned long) будет 4 для 32-разрядных процессов и 8 для 64-разрядных процессов. Мы можем сделать эту работу для нас. Для этого для работы над 32-разрядными системами все коды клавиши должны быть 0xffffffff или меньше. В 64-разрядной системе старшие значащие 32 бита будут нулем. Машины Intel являются прямыми порядками байтов, таким образом, эти 32 бита следуют за младшими значащими в памяти.

По сути, все, что необходимо сделать:

1. Read 16 bytes from the `auxv` file.
2. Is this the end of the file?
3.     Then it's a 64-bit process.
4.     Done.
5. Is buf[4], buf[5], buf[6] or buf[7] non-zero?
6.     Then it's a 32-bit process.
7.     Done.
8. Go to 1.

Парсинг файла карт: это было предложено Gilles, но не вполне работало. Вот измененная версия, которая делает. Это полагается на чтение /proc/$PID/maps файл. Если списки файлов 64-разрядные адреса, процесс составляет 64 бита. Иначе это - 32 бита. Проблема заключается, в котором ядро упростит вывод путем разделения продвижения, обнуляет от шестнадцатеричных адресов в группах 4, таким образом, взлом длины не может вполне работать. awk к спасению:

if ! [ -e /proc/$pid/maps ]; then
   echo "No such process"
else
    case $(awk 

Это работает путем проверки начального адреса последней карты распределения памяти процесса. Они перечислены как 12345678-deadbeef. Так, если процесс будет 32-разрядным, то тот адрес будет восемью шестнадцатеричными цифрами долго, и девятым будет дефис. Если это будет 64-разрядное, то самый высокий адрес будет длиннее, чем это. Девятый символ будет шестнадцатеричной цифрой.

Знайте: всем кроме первых и последних методов нужно ядро Linux 2.6.0 или более новый, начиная с auxv файл не был там прежде.