Извлечь путь процесса из ядра OSX 10.10/10.11

Question

Я хотел бы получить путь процесса от PID в kext, например: Get name from PID? Однако sys/proc_info.h и libproc.h больше не доступны (afaik).

Есть ли другой способ получить proc_info для процесса struct proc *p из kext?

Answer 1

К сожалению, функция поиска основного исполняемого файла процесса vnode, proc_getexecutablevnode() находится в закрытом KPI, который доступен только для kexts, опубликованных Apple.

Информация хранится в поле p_textvpstruct proc, что еще раз не является частью публики. ABI - Apple может изменить свое расположение, поэтому, даже если вы импортируете свое определение в свой код, ваш код может быть неверно в будущих или более старых версиях OS X.

Возможно, вы сможете получить информацию через механизм sysctl, но я не вижу очевидного способа сделать это. Вы должны иметь возможность получать информацию в пользовательском пространстве с помощью системного вызова proc_info(). Apple не документирует, но вы можете прочитать источник.

Наконец, если ваш kext загружен во время загрузки, вы можете сами отслеживать исполняемый файл процесса, зарегистрировав слушателя KAUTH в KAUTH_SCOPE_FILEOP. Событие KAUTH_FILEOP_EXEC расскажет вам, когда процесс (успешно) вызывает одну из функций exec(), включая рассматриваемый vnode.

И, наконец, имейте в виду, что путь к исполняемому файлу необязательно определен. В отличие от Windows, исполняемые файлы могут быть перемещены или удалены, поэтому путь может измениться или полностью исчезнуть. Более того, файлы могут быть жестко привязаны, и в этом случае они имеют несколько путей. vnode_t - это тип ядра, который идентифицирует файл, независимо от его имени/пути/и т. Д. - обычный пользовательский процесс всегда будет иметь исполняемый файл vnode, но у vnode может отсутствовать допустимый путь. Убедитесь, что ваш код этого не ожидает.