コアダンプ

コアダンプとは突然プロセスが終了したときのプロセスのアドレス空間 (メモリ) を記録するファイルです。コアダンプは終了時に自動的に生成されるだけでなく、(デバッガなどによって) 必要に応じて生成される場合もあります。コアダンプはプログラムのクラッシュに対する反応としてカーネルによって引き起こされ、(systemd-coredump などの) ヘルパープログラムに渡されて処理されます。プログラムがクラッシュする原因を探るときにコアダンプは開発者にとって有益な情報となり得ますが、平均的なユーザーにとっては意味不明な文字列といっても過言ではなく、また、最近の開発者はコアダンプにあまり価値を置かなくなってきています。

自動的なコアダンプの無効化

コアダンプの自動生成を無効化する理由としては以下のようなことが考えられます:

• パフォーマンス: メモリの消費が激しいプロセスのコアダンプを生成するとき、システムリソースが浪費され、メモリの消去が遅延します。
• ディスク容量: 圧縮されない場合、コアダンプはメモリの使用量と同じ分だけ、あるいはそれ以上のディスク容量を消費します。
• セキュリティ: コアダンプは基本的に root しか読みことができないものですが、クラッシュの後にディスクに書き込まれた機密情報 (パスワードや暗号鍵など) が含まれている可能性があります。

systemd を使う

systemd はデフォルトで全てのプロセスのコアダンプを /var/lib/systemd/coredump に生成します。/etc/systemd/coredump.conf.d/ ディレクトリに以下の内容で設定スニペットを作成することで生成しないようにすることが可能です [1][2]:

/etc/systemd/coredump.conf.d/custom.conf

[Coredump]
Storage=none

ノート: [Coredump] セクションの名前を記述するのを忘れてはいけません。セクションがないとオプションは無視されます: systemd-coredump[1728]: [/etc/systemd/coredump.conf.d/custom.conf:1] Assignment outside of section. Ignoring.。

それから systemd の設定をリロードしてください:

# systemctl daemon-reload

システム上にコアダンプを自動的に作成する他のプログラムが存在しなければ、上記の設定だけでユーザー空間のコアダンプを無効化できます。

ulimit を使う

コアダンプの上限容量は ulimit によって決まります。ulimit をゼロに設定すればコアダンプは完全に無効化されます [3]:

/etc/security/limits.conf

* hard core 0

sysctl を使う

sysctl を使うことで fs.suid_dumpable カーネルパラメータを変更することができます。変更は suid プロセスだけに適用されます [4]。

/etc/sysctl.conf

fs.suid_dumpable = 0

コアダンプの作成

任意のプロセスでコアダンプを生成したい場合は、まず gdb パッケージをインストールしてください。そして実行しているプロセスの PID を確認してください。例えば pgrep を使って:

$ pgrep -f firefox

2071 firefox

確認されたプロセスにアタッチ:

$ gdb -p 2071

そして (gdb) プロンプトで以下を実行:

(gdb) generate-core-file
Saved corefile core.2071
(gdb) quit

上記の例では core.2071 という名前のコアダンプファイルが生成されています。

コアダンプの保存場所

sysctl の kernel.core_pattern は自動的に生成されたコアダンプの保存場所を決定します:

$ cat /proc/sys/kernel/core_pattern 
|/usr/lib/systemd/systemd-coredump %p %u %g %s %t %e

/usr/lib/sysctl.d/50-coredump.conf のデフォルト設定では、コアダンプはシステムログとして journald に全て送信されます。

ノート: 完全なディスク暗号化をしていない場合、上記したことはプログラムのメモリがディスクにそのまま書き出されるということを意味します。たとえスワップを暗号化していてもコアダンプから情報が漏洩してしまう可能性があります。

journal からコアダンプを取得する方法は man coredumpctl を見てください。

コアダンプの確認

存在するダンプは coredumpctl を使って確認します:

# coredumpctl list

ダンプは一意に識別する必要があります。PID や実行ファイルの名前、実行ファイルのパスや journalctl の述部で指定することができます (詳しくは coredumpctl(1) や journalctl(1) を参照)。コアダンプの詳細を確認するには:

# coredumpctl info match

"Signal" 列を注視することでクラッシュの原因の解明に役立ちます。gdb を使ってバックトレースを確認してさらに細かい解析をすることも可能です:

# coredumpctl gdb match

gdb を起動したら、bt コマンドを使ってバックトレースを出力してください:

(gdb) bt

参照

• american fuzzy lop - カーネルやプログラムのテストを自動化するツール
• Filesystem fuzzing - ファイルシステムのバグをテストする LWN の記事