使用ptrace检测调试器

Question

我试图在Linux上检测是否有调试器附加到我的二进制文件上。我找到了两种解决方案。一个简单的：

#include <stdio.h>
#include <sys/ptrace.h>

int main()
{
    if (ptrace(PTRACE_TRACEME, 0, 1, 0) == -1) 
    {
        printf("don't trace me !!\n");
        return 1;
    }
    // normal execution
    return 0;
}

还有一个：

#include <sys/types.h>
#include <errno.h>
#include <signal.h>
#include <stdlib.h>
#include <unistd.h>
#include <sys/ptrace.h>
#include <sys/wait.h>

int spc_detect_ptrace(void) {
  int   status, waitrc;
  pid_t child, parent;

  parent = getpid();
  if (!(child = fork())) {
    /* this is the child process */
    if (ptrace(PT_ATTACH, parent, 0, 0)) exit(1);
    do {
      waitrc = waitpid(parent, &status, 0);
    } while (waitrc == -1 && errno == EINTR);
    ptrace(PT_DETACH, parent, (caddr_t)1, SIGCONT);
    exit(0);
  }

  if (child == -1) return -1;

  do {
    waitrc = waitpid(child, &status, 0);
  } while (waitrc == -1 && errno == EINTR);

  return WEXITSTATUS(status);
}

第二种方法比第一种简单的方法好吗？如果是，为什么？

Answer 1

除了 ptrace() 方法之外，还可以发出 SIGTRAP 信号（ 如何检测当前进程是否正在由 GDB 运行？）

我想说你的第一个方法更好（比 SIGTRAP 更好），因为分叉对于这样的检查效率非常低，并且在很多情况下（比如多线程代码）分叉是不受欢迎的。