linux - 列出进程以有效方式访问的所有文件

Question

我想以高效的方式记录进程在其生命周期内进行的所有文件访问。

目前，我们通过使用 LD_PRELOAD 预加载共享库来实现此目的，该共享库拦截处理文件访问的 C 库调用。该方法在没有太多性能开销的情况下是高效的，但不是防漏的。

例如，我们拥有的LD_PRELOAD 共享库有一个dlopen Hook 。此 Hook 用于跟踪对共享库的访问，但该机制无法记录共享库的三级依赖项。

我们确实尝试过使用 strace，但使用 strace 的性能开销对我们来说是行不通的。我很好奇我们是否有其他可以探索的机制来拦截进程及其子进程以有效方式进行的文件访问。我乐于探索内核级别的选项，连接到 VFS 层或其他任何内容。

想法？

Answer 1

We did try using strace but the performance overhead of using strace was a non-starter for us.

strace 很慢，因为它使用古老而缓慢的 ptrace 系统调用来充当应用程序的调试器。应用程序进行的每个系统调用都将被转换为信号，strace 将围绕两个 ptrace 系统调用(还有一些打印、访问其他进程内存以获取字符串/结构值)并继续目标应用程序(2 个上下文切换)。 strace 支持系统调用过滤器，但是过滤器不能为 ptrace 注册，而 strace 在用户空间进行过滤，跟踪所有系统调用。

有更快的基于内核的解决方案，Brendan Gregg (Dtrace Book 的作者 - Solaris、OSX、FreeBSD)对跟踪工具有很多概述(在他的 blog 中:tracing 15 minutes、BPF superpowers、60s of linux perf、Choosing Tracer 2015 (with Magic pony)、page cache stats)，例如

您对该图的左侧部分感兴趣，靠近 VFS block 。 perf(标准工具)，dtrace(仅在某些 linux 中支持，有许可证问题 - CDDL 与 GPL 不兼容)，stap(systemtap ，与像 CentOS 这样的红色 Linux 一起工作得更好)。

有直接替换strace - sysdig tool (需要额外的内核模块，github)它适用于像 tcpdump 这样的系统调用，适用于网络接口(interface)嗅探。这个工具嗅探内核内部的系统调用，无需额外的上下文切换或信号或使用 ptrace 插入其他进程内存(内核已经从用户那里复制了所有字符串)，它还使用智能缓冲以大数据包的形式将跟踪转储到用户空间工具。

还有其他通用跟踪框架/工具，如 lttng(out of tree)、ftrace/trace-cmd。带有 eBPF 的 bcc 是现代(4.9+)Linux 内核中包含的非常强大的框架(检查 http://www.brendangregg.com/Slides/SCALE2017_perf_analysis_eBPF.pdf )。 bcc 和 eBPF 允许您编写小的(ans 安全的)代码片段来在跟踪点附近的内核中进行一些数据聚合:

如果您的 Linux 内核足够新，请试试 Brendan 的 VFS 工具:opensnoop、statsnoop、syncsnoop；可能还有一些文件*工具(工具支持使用 -p PID 进行 pid 过滤，或者可能在系统范围内工作)。在 http://www.brendangregg.com/dtrace.html 部分描述了它们并在他的 github 上发布:https://github.com/brendangregg/perf-tools (还有 https://github.com/iovisor/bcc#tools)

As of Linux 4.9, the Linux kernel finally has similar raw capabilities as DTrace. ...

opensnoop is a program to snoop file opens. The filename and file handle are traced along with some process details.

# opensnoop -g
  UID   PID PATH                                   FD ARGS
  100  3528 /var/ld/ld.config                      -1 cat /etc/passwd
  100  3528 /usr/lib/libc.so.1                      3 cat /etc/passwd
  100  3528 /etc/passwd                             3 cat /etc/passwd   
  100  3529 /var/ld/ld.config                      -1 cal
  100  3529 /usr/lib/libc.so.1                      3 cal

rwsnoop snoop read/write events. This is measuring reads and writes at the application level - syscalls.

# rwsnoop
  UID    PID CMD          D   BYTES FILE
    0   2924 sh           R     128 /etc/profile
    0   2924 sh           R     128 /etc/profile
    0   2924 sh           R     128 /etc/profile
    0   2924 sh           R      84 /etc/profile
    0   2925 quota        R     757 /etc/nsswitch.conf
    0   2925 quota        R       0 /etc/nsswitch.conf
    0   2925 quota        R     668 /etc/passwd