系统调用PTRACE的一切开始于这里：
COMPAT_SYSCALL_DEFINE4(ptrace, compat_long_t, request, compat_long_t, pid,
compat_long_t, addr, compat_long_t, data)
首先提供了attach的绿色通道：
if (request == PTRACE_ATTACH || request == PTRACE_SEIZE) {
ret = ptrace_attach(child, request, addr, data);
attach做的事情就是把当前进程变成了被trace进程的父进程，同时把被trace进程加入到当前进程的ptraced链表中；
__ptrace_link(task, current);
list_add(&child->ptrace_entry, &new_parent->ptraced);
child->parent = new_parent;
但是这样做是有前提的，具体请看后面的分析，这里先按下不表。
attach？wtf？为啥要在用之前attach，搞得这么神秘，难道直接用不可以吗？
不可以，因为你不能直接访问其他进程的地址空间，否则地址空间的隔离不就变成笑话了。
所以这个ptrace系统调用入口做了个很重要的check：
ret = ptrace_check_attach(child, request == PTRACE_KILL ||
request == PTRACE_INTERRUPT);
if (!ret) { //只有返回为0，即判断条件成立，才继续执行对ptrace的request
ret = compat_arch_ptrace(child, request, addr, data);
if (ret || request != PTRACE_DETACH)
ptrace_unfreeze_traced(child);
}
child->ptrace && child->parent == current
只有过了这一关，才能进行后面的操作（除了kil和interrupt，他们自己的处理逻辑里面有此类的判断或者无需），那难道随便就可以attach，那我就麻烦一点先attach呗；显然不会这么傻，前面卖了个关子，这里来看看attach里面做的权限检查，必须是有权的人才能随便搞的，屁民是要守法的！！
权限管理的水比较深，博主还没吃透，所以这里先简单列一下我能看懂的部分：
etval = __ptrace_may_access(task, PTRACE_MODE_ATTACH);
这里有两个条件，1）我自己人改自己人ok（这里的suid euid等等的请看后面链接）；2）我的上层命名空间ok（我理解是，比如像root用户这种大boss）
tcred = __task_cred(task);
if (uid_eq(cred->uid, tcred->euid) &&
uid_eq(cred->uid, tcred->suid) &&
uid_eq(cred->uid, tcred->uid) &&
gid_eq(cred->gid, tcred->egid) &&
gid_eq(cred->gid, tcred->sgid) &&
gid_eq(cred->gid, tcred->gid))
goto ok;
if (ptrace_has_cap(tcred->user_ns, mode))
goto ok;
另外还要做命名空间能力的检测，看看目标进程的命名空间有没有被ptrace的能力：
ns_capable(__task_cred(task)->user_ns, CAP_SYS_PTRACE)
参考链接