进程内存转储

Question

阅读/proc/$PID/maps时，您可以获取映射的内存区域。 有没有一种方法可以转储其中的一个区域？

$ cat /proc/18448/maps
...[snip]...
0059e000-005b1000 r-xp 00000000 08:11 40         /usr/local/lib/libgstlightning.so.0.0.0
005b1000-005b2000 r--p 00012000 08:11 40         /usr/local/lib/libgstlightning.so.0.0.0
005b2000-005b3000 rw-p 00013000 08:11 40         /usr/local/lib/libgstlightning.so.0.0.0
...[snip]...

谢谢

- mathk

Answer 1

嘿！使用PTRACE ATTACH调用ptrace()。然后打开/proc/<pid>/mem，定位到区域偏移量，并按/proc</pid>/maps中所示读取区域长度。

这是我用C语言编写的程序。这是我用Python编写的模块（和ptrace绑定）。最后，一个将进程的所有区域转储到文件的程序。

享受吧！

- Matt Joiner

Answer 2

您可以使用以下命令将gdb附加到进程并转储长度为X个字的内存区域，起始位置为L：x/Xw L。

在启动进程时附加gdb很简单：gdb ./executable然后run。如果您需要附加到正在运行的进程，则启动gdb，然后gdb attach pid，其中pid是您关心的进程ID。

- nmichaels

---

谢谢，:) 我还没有想过这个。 - mathk

你可以使用命令行参数来附加到正在运行的进程：gdb -p <pid>。 - Matthew Slattery

很好知道。我只严肃地用过gdb来调试远程目标。 - nmichaels

Answer 3

使用dd(1)命令:

sudo dd if=/dev/mem bs=1 skip=$(( 16#0059e000 - 1 )) \
        count=$(( 16#005b1000 - 16#0059e000 + 1)) | hexdump -C

- jackIT