Wie löst man „Ptrace-Operation nicht erlaubt“ beim Versuch, GDB an einen Prozess anzuhängen?

Ich versuche, ein Programm mit gdb anzuhängen, aber es gibt Folgendes zurück:

Wird an Prozess 29139 angehängt
Konnte nicht an Prozess angehängt werden. Wenn Ihre UID mit der UID des Zielprozesses übereinstimmt, überprüfen Sie die Einstellung von /proc/sys/kernel/yama/ptrace_scope oder versuchen Sie es erneut als Root-Benutzer. Weitere Einzelheiten finden Sie unter /etc/sysctl.d/10-ptrace.conf
ptrace: Operation nicht erlaubt.

gdb-debugger gibt zurück „Fehler beim Anhängen an den Prozess, bitte überprüfen Sie die Berechtigungen und versuchen Sie es erneut.“

strace gibt “attach: ptrace(PTRACE_ATTACH, …): Vorgang nicht erlaubt” zurück

Ich habe “kernel.yama.ptrace_scope” von 1 auf 0 geändert und /proc/sys/kernel/yama/ptrace_scope 1 zu 0 und probiert set environment LD_PRELOAD=./ptrace.so mit diesem:

#include <stdio.h>
int ptrace(int i, int j, int k, int l) {
    printf(" ptrace(%i, %i, %i, %i), returning -1\n", i, j, k, l);
    return 0;
}

Aber es gibt immer noch den gleichen Fehler zurück. Wie kann ich es an Debugger anhängen?

Wenn Sie Docker verwenden, benötigen Sie wahrscheinlich diese Optionen:

docker run --cap-add=SYS_PTRACE --security-opt seccomp=unconfined

Wenn Sie Podman verwenden, werden Sie es wahrscheinlich brauchen --cap-add Möglichkeit auch:

podman run --cap-add=SYS_PTRACE

Dies liegt an der Kernelhärtung in Linux; Sie können dieses Verhalten deaktivieren, indem Sie echo 0 > /proc/sys/kernel/yama/ptrace_scope oder indem Sie es ändern /etc/sysctl.d/10-ptrace.conf

Siehe auch diesen Artikel darüber in Fedora 22 (mit Links zur Dokumentation) und diesen Kommentarthread über Ubuntu und .

Ich möchte hinzufügen, dass ich brauchte --security-opt apparmor=unconfined zusammen mit den Optionen, die @wisbucky erwähnt hat. Dies war auf Ubuntu 18.04 (sowohl Docker-Client als auch Host). Daher lautet der vollständige Aufruf zum Aktivieren des gdb-Debuggings in einem Container:

docker run --cap-add=SYS_PTRACE --security-opt seccomp=unconfined --security-opt apparmor=unconfined

Ich habe den obigen Anwendungsfall nicht wirklich angesprochen, aber ich hatte dieses Problem:

Problem: Es ist passiert, dass ich mein Programm mit gestartet habe sudoalso gab es mir beim Starten von gdb ptrace: Operation not permitted.

Lösung: sudo gdb ...

Ich möchte nur einen Zusammenhang betonen Antworten. Nehmen wir an, Sie sind root und Sie haben Folgendes getan:

strace -p 700

und bekomme:

strace: attach: ptrace(PTRACE_SEIZE, 700): Operation not permitted

Prüfen:

grep TracerPid /proc/700/status

Wenn Sie so etwas sehen TracerPid: 12dh nicht 0das ist die PID des Programms, das bereits die verwendet ptrace Systemaufruf. Beide gdb und strace verwenden, und es kann immer nur einer aktiv sein.

Da die meisten von uns wegen Docker-Problemen hier landen, füge ich die hinzu Kubernetes antworten, da es für jemanden nützlich sein könnte …

Sie müssen die hinzufügen SYS_PTRACE -Fähigkeit im Sicherheitskontext Ihres Pods unter spec.containers.securityContext:

       securityContext:
          capabilities:
            add: [ "SYS_PTRACE" ]

Da sind 2 securityContext Schlüssel an 2 verschiedenen Stellen. Wenn es Ihnen sagt, dass der Schlüssel nicht erkannt wird, dann haben Sie ihn verlegt. Probieren Sie das andere aus.

Sie müssen wahrscheinlich auch einen Root-Benutzer als Standard haben. Also im anderen Sicherheitskontext (spec.securityContext) hinzufügen :

      securityContext:
        runAsUser: 0
        runAsGroup: 0
        fsGroup: 101

FYI: 0 ist Wurzel. Aber der fsGroup-Wert ist mir unbekannt. Was ich tue, ist mir egal, aber dir vielleicht.

Jetzt können Sie tun:

strace -s 100000 -e write=1  -e trace=write -p 16

Ihnen wird die Erlaubnis nicht mehr verweigert!

ACHTUNG: Dies ist die Büchse der Pandora. Dies in der Produktion zu haben, wird NICHT empfohlen.

Ich habe meinen Code mit höheren Privilegien ausgeführt, um mit Ethernet Raw Sockets umzugehen, indem ich den Befehl set Capability in der Debian-Distribution festgelegt habe. Ich habe die obige Lösung versucht: echo 0 > /proc/sys/kernel/yama/ptrace_scope
oder indem Sie es ändern /etc/sysctl.d/10-ptrace.conf aber das hat bei mir nicht funktioniert.

Zusätzlich habe ich es auch mit dem Befehl set Capabilities für gdb im installierten Verzeichnis (usr/bin/gdb) versucht und es funktioniert: /sbin/setcap CAP_SYS_PTRACE=+eip /usr/bin/gdb. Stellen Sie sicher, dass Sie diesen Befehl mit Root-Rechten ausführen.