项目介绍

github.com/Penguin38/O…

allprojects {
    repositories {
        ...
        maven { url 'https://jitpack.io' }
    }
}

dependencies {
    ...
    implementation 'com.github.Penguin38:OpenCoreSDK:opencore-1.2.8'
}

{
    //  初始化组件
    Coredump.getInstance().init();

    //  设置模式
    Coredump.getInstance().setCoreMode(Coredump.MODE_PTRACE | Coredump.MODE_COPY);
    // Coredump.getInstance().setCoreMode(Coredump.MODE_PTRACE);
    // Coredump.getInstance().setCoreMode(Coredump.MODE_COPY);



    //  设置 Coredump 保存目录
    Coredump.getInstance().setCoreDir(...);
   
    //  Java Crash 生成 Coredump
    Coredump.getInstance().enable(Coredump.JAVA);
    
    //  Native Crash 生成 Coredump
    Coredump.getInstance().enable(Coredump.NATIVE);
    
    //  设置监听器
    Coredump.getInstance().setListener(new Coredump.Listener() {
        @Override
        public void onCompleted(String path) {
                // do anything
        }
    });

    //  主动生成当前时刻 Coredump
    Coredump.getInstance().doCoredump();
}

文件格式

工作原理

核心技术依赖 Linux 写时复制机制用于父子进程内存拷贝，以及 ptrace 系统调用，它可用于挂入到目标进程上，并且可访问进程内存、寄存器等信息。程序需访问的文件节点：

PTRACE API介绍

API官方文档使用：man7.org/linux/man-p…
#include <sys/ptrace.h>
long ptrace(enum __ptrace_request request, pid_t pid, void *addr, void *data);

暂停线程工作

使用 PTRACE_ATTACH 命令即可将目标线程暂停下来，线程进入 T 状态，在内核态上函数将会停留在 ptrace_stop 函数上等待，直到跟踪进程退出或接收到 PTRACE_CONT 或 PTRACE_DETACH 命令恢复状态。

void OpencoreImpl::StopAllThread(pid_t pid)
{
    char task_dir[32];
    struct dirent *entry;
    snprintf(task_dir, sizeof(task_dir), "/proc/%d/task", pid);
    DIR *dp = opendir(task_dir);
    if (dp) {
        while ((entry=readdir(dp)) != NULL) {
            if (!strncmp(entry->d_name, ".", 1)) {
                continue;
            }


            pid_t tid = atoi(entry->d_name);
            if (ptrace(PTRACE_ATTACH, tid, NULL, 0) < 0) {
                JNI_LOGI("%s %d: %s\n", __func__ , tid, strerror(errno));
                continue;
            }
            int status = 0;
            waitpid(tid, &status, WUNTRACED);
        }
    }
}

获取线程寄存器

使用 PTRACE_GETREGSET 命令获取进程各个线程的寄存器信息，实际上内核返回的是线程内核态的上下文信息，对应的内核数据结构为 pt_regs。

...

            int index = 0;
            while((entry=readdir(dp)) != NULL) {
                if(!strncmp(entry->d_name, ".", 1))
                    continue;

                pid_t tid = atoi(entry->d_name);
                prstatus[index].pr_pid = tid;


                uintptr_t regset = 1;
                struct iovec ioVec;


                ioVec.iov_base = &prstatus[index].pr_reg;
                ioVec.iov_len = sizeof(core_arm64_pt_regs);

                if (ptrace(PTRACE_GETREGSET, tid, regset, &ioVec) < 0) {
                    JNI_LOGI("%s %d: %s\n", __func__ , tid, strerror(errno));
                    index++;
                    continue;
                }

                index++;
            }
...

PTRACE 读取内存

使用 ptrace 读取内存缺点在于非常的慢，原因是每次 syscall 只能访问 4、8 字节，取决于目标操作系统是 32 位还是 64 位，每一段内存的转储过程中都需要进行反复遍历，受限与 ptrace 读取能力，要想完整的保存 Android 应用程序的内存，短则 5 min 起步，长则 20 min 左右。

...

    while(index < ehdr.e_phnum - 1) {
        if (phdr[index].p_filesz > 0) {
            switch (mode) {
                case MODE_PTRACE: {
                    Elf64_Addr target = phdr[index].p_vaddr;
                    while (target < phdr[index].p_vaddr + phdr[index].p_memsz) {
                        long mem = ptrace(PTRACE_PEEKTEXT, pid, target, 0x0);
                        fwrite(&mem, sizeof(mem), 1, fp);
                        target = target + sizeof(Elf64_Addr);
                    }
                }
...

父子进程内存拷贝

segmentfault.com/a/119000003…

在 Linux 系统中，调用 fork 系统调用创建子进程时，并不会把父进程所有占用的内存页复制一份，而是与父进程共用相同的内存页，而当子进程或者父进程对内存页进行修改时才会进行复制 —— 这就是著名的 写时复制 机制。

基于这个机制我们可以直接拷贝子进程虚拟内存空间，尽管子进程后边有修改过内存数据，但与父进程相识度非常的高，大多数情况下可以满足我们对本次内存分析的需求，并且相比纯 ptrace 读取内存能节省大量的抓取时间。