¿Cómo resolver la “operación ptrace no permitida” al intentar adjuntar GDB a un proceso?

Estoy tratando de adjuntar un programa con gdb pero devuelve:

Adjunto al proceso 29139
No se pudo adjuntar al proceso. Si su uid coincide con el uid del proceso de destino, verifique la configuración de /proc/sys/kernel/yama/ptrace_scope, o vuelva a intentarlo como usuario root. Para obtener más detalles, consulte /etc/sysctl.d/10-ptrace.conf
ptrace: Operación no permitida.

gdb-debugger devuelve “Error al adjuntar al proceso, verifique los privilegios e intente nuevamente”.

strace devuelve “adjuntar: ptrace(PTRACE_ATTACH, …): Operación no permitida”

Cambié “kernel.yama.ptrace_scope” de 1 a 0 y /proc/sys/kernel/yama/ptrace_scope 1 a 0 y probado set environment LD_PRELOAD=./ptrace.so con este:

#include <stdio.h>
int ptrace(int i, int j, int k, int l) {
    printf(" ptrace(%i, %i, %i, %i), returning -1\n", i, j, k, l);
    return 0;
}

Pero sigue devolviendo el mismo error. ¿Cómo puedo adjuntarlo a los depuradores?

Si está utilizando Docker, probablemente necesitará estas opciones:

docker run --cap-add=SYS_PTRACE --security-opt seccomp=unconfined

Si está utilizando Podman, probablemente necesitará su --cap-add opción también:

podman run --cap-add=SYS_PTRACE

Esto se debe al endurecimiento del núcleo en Linux; puede deshabilitar este comportamiento por echo 0 > /proc/sys/kernel/yama/ptrace_scope o modificándolo en /etc/sysctl.d/10-ptrace.conf

Ver también este artículo sobre ello en Fedora 22 (con enlaces a la documentación) y este hilo de comentarios sobre Ubuntu y .

Me gustaría agregar que necesitaba --security-opt apparmor=unconfined junto con las opciones que mencionó @wisbucky. Esto fue en Ubuntu 18.04 (tanto cliente Docker como host). Por lo tanto, la invocación completa para habilitar la depuración de gdb dentro de un contenedor es:

docker run --cap-add=SYS_PTRACE --security-opt seccomp=unconfined --security-opt apparmor=unconfined

Realmente no abordé el caso de uso anterior, pero tuve este problema:

Problema: Sucedió que comencé mi programa con sudoasí que al iniciar gdb me estaba dando ptrace: Operation not permitted.

Solución: sudo gdb ...

Solo quiero enfatizar un tema relacionado responder. Digamos que eres root y has hecho:

strace -p 700

y obten:

strace: attach: ptrace(PTRACE_SEIZE, 700): Operation not permitted

Controlar:

grep TracerPid /proc/700/status

Si ves algo como TracerPid: 12es decir no 0ese es el PID del programa que ya está usando el rastrear llamada del sistema. Ambas cosas gdb y strace usarlo, y solo puede haber uno activo a la vez.

Como la mayoría de nosotros aterrizamos aquí por problemas de Docker, agregaré el Kubernetes respuesta ya que podría ser útil para alguien …

Debes agregar el SYS_PTRACE capacidad en el contexto de seguridad de su pod en spec.containers.securityContext:

       securityContext:
          capabilities:
            add: [ "SYS_PTRACE" ]

Hay 2 securityContext llaves en 2 lugares diferentes. Si le dice que la clave no se reconoce, entonces la extravió. Prueba con el otro.

Probablemente también necesite tener un usuario root por defecto. Así que en el otro contexto de seguridad (spec.securityContext) agregar :

      securityContext:
        runAsUser: 0
        runAsGroup: 0
        fsGroup: 101

FYI: 0 es raíz. Pero el valor de fsGroup es desconocido para mí. Por lo que estoy haciendo no me importa, pero a ti sí.

Ahora puedes hacer:

strace -s 100000 -e write=1  -e trace=write -p 16

¡Ya no te negarán el permiso!

CUIDADO: Esta es la caja de Pandora. Tener esto en producción NO es recomendable.

Estaba ejecutando mi código con mayores privilegios para lidiar con Ethernet Raw Sockets al establecer el comando de capacidad en Debian Distribution. Probé la solución anterior: echo 0 > /proc/sys/kernel/yama/ptrace_scope
o modificándolo en /etc/sysctl.d/10-ptrace.conf pero eso no funcionó para mí.

Además, también probé con el comando establecer capacidades para gdb en el directorio instalado (usr/bin/gdb) y funciona: /sbin/setcap CAP_SYS_PTRACE=+eip /usr/bin/gdb. Asegúrese de ejecutar este comando con privilegios de root.