有时仅使用LD_PRELOAD覆盖execve（）

Question

我想通过使用LD_PRELOAD覆盖execve（）syscall，无法弄清为什么有时起作用而有时不起作用。

考虑一下覆盖execve（）的非常简单的代码（我将使其完整，以便您可以尝试使用）：

#define _GNU_SOURCE
#include <unistd.h>
#include <dlfcn.h>
typedef ssize_t (*execve_func_t)(const char* filename, char* const argv[], char* const envp[]);
static execve_func_t old_execve = NULL;
int execve(const char* filename, char* const argv[], char* const envp[]) {
    printf("Running hook\n");
    old_execve = dlsym(RTLD_NEXT, "execve");
    return old_execve(filename, argv, envp);
}

（编译为： gcc -std=c99 -o exec.so -shared exec.c -Wall -Wfatal-errors -fPIC -g -ldl ）

这个非常简单的测试程序：

#define _GNU_SOURCE
#include <unistd.h>
#include <dlfcn.h>
int main() {
    char* args[] = {"ls", "/usr", NULL};
    char* envp[] = {"LD_PRELOAD=/path/to/exec.so", NULL};
    execve("/usr/bin/ls", args, envp);
    return 0;
}

现在，当我在外壳中export LD_PRELOAD=/path/to/exec.so时，我希望运行的任何二进制文件都首先执行该钩子。 这还不是真的，这使我感到困惑： 编辑：好的，这部分现在很清楚。 以下问题仍未解决。

» strace -f -e trace=execve ./test
execve("./test", ["./test"], [/* 58 vars */]) = 0
Running hook
execve("/usr/bin/ls", ["ls", "/usr"], [/* 1 var */]) = 0
arm-none-eabi  avr  bin  games  include  lib  lib32  lib64  libexec  local  python  sbin  share  src  usr  x86_64-pc-linux-gnu
+++ exited with 0 +++

如您所见，该挂钩仅针对第二个execve运行，而不针对第一个。

仍然不清楚：更令我困惑的是，在某些情况下，甚至从未为子进程预加载代码。 例如，当使用Python的子进程模块运行ls /usr时，会发生以下情况：

» strace -f -e trace=execve /usr/bin/python -c "import subprocess; subprocess.Popen(['ls', '/usr'])"
execve("/usr/bin/python", ["/usr/bin/python", "-c", "import subprocess; subprocess.Po"...], [/* 58 vars */]) = 0
strace: Process 8350 attached
[pid  8350] execve("/usr/local/sbin/ls", ["ls", "/usr"], [/* 58 vars */]) = -1 ENOENT (No such file or directory)
[pid  8350] execve("/usr/local/bin/ls", ["ls", "/usr"], [/* 58 vars */]) = -1 ENOENT (No such file or directory)
[pid  8350] execve("/usr/bin/ls", ["ls", "/usr"], [/* 58 vars */]) = 0
arm-none-eabi  avr  bin  games  include  lib  lib32  lib64  libexec  local  python  sbin  share  src  usr  x86_64-pc-linux-gnu
[pid  8350] +++ exited with 0 +++
--- SIGCHLD {si_signo=SIGCHLD, si_code=CLD_EXITED, si_pid=8350, si_uid=1000, si_status=0, si_utime=0, si_stime=0} ---
+++ exited with 0 +++

那怎么可能？ 这是完全相同的syscall，并且调用过程的环境完全相同，但是它做了一些不同的事情。 我很高兴对此有任何建议。

Answer 1

好的，解决方案实际上很简单：Python调用execv，而不是execve； 所打印的标准输出被调用该过程的代码占用，而不是打印到终端。 这就是为什么它看起来不起作用的原因（实际上它确实起作用）。