如何让 dtrace 以非 root 权限运行跟踪命令？

Question

OS X 缺少 Linux 的 strace，但它有 dtrace，它应该要好得多。

但是，我怀念对单个命令进行简单跟踪的能力。例如，在 Linux 上，我可以编写 strace -f gcc hello.c 来捕获所有系统调用，这会为我提供编译器编译所需的所有文件名列表我的程序（优秀的 memoize 脚本是基于这个技巧构建的）

我想要Mac 上的端口 memoize，所以我需要某种 strace。我真正需要的是 gcc 读取和写入的文件列表，所以我需要的更多是一个桁架。果然，我可以说 dtruss -f gcc hello.c 并获得一些相同的功能，但是编译器以 root 权限运行，这显然是不可取的（除了巨大的安全风险之外，还有一个问题）是 a.out 文件现在由 root 拥有:-)

然后我尝试了 dtruss -f sudo -u myusername gcc hello.c，但这感觉有点不对，并且无论如何都不起作用（我一直没有得到 a.out 文件，不知道为什么）

所有这些长篇故事都试图激发我最初的问题：我如何获得dtrace 以普通用户权限运行我的命令，就像 strace 在 Linux 中所做的那样？

编辑：似乎我不是唯一一个想知道如何执行此操作的人：问题#1204256 与我的几乎相同（并且具有相同的次优 sudo 答案:-)

Answer 1

最简单的方法是使用 sudo：

sudo dtruss -f sudo -u $USER whoami

---

其他解决方案是首先运行调试器并监视新的特定进程。
例如，

sudo dtruss -fn whoami

然后在另一个终端中只需运行：

whoami

就这么简单。

您可以在手册中找到更多棘手的参数： man dtruss

---

或者，您可以将 dtruss 附加到正在运行的用户进程，例如在 Mac 上：

sudo dtruss -fp PID

或在 Linux/Unix 上使用 strace 类似：

sudo strace -fp PID

---

另一个 hacky 技巧可能是执行命令，然后附加到进程。下面是一些例子：

sudo true; (./Pages &); sudo dtruss -fp `pgrep -n -x Pages`
sudo true; (sleep 1 &); sudo dtruss -fp `pgrep -n -x sleep`
sudo true; (tail -f /var/log/system.log &); sudo dtruss -fp `pgrep -n -x tail`

注意：

• 第一个 sudo 只是为了缓存第一次运行时的密码，

• 这个技巧不不适用于像 ls, date 这样的快速命令行，因为调试器需要一些时间才能附加到进程，

• 您必须在两个地方键入命令，

• 您可以忽略 & 将进程运行到后台，如果它已经这样做了，

• 调试完成后，您必须手动终止后台进程（例如killall -v tail）

Answer 2

dtruss 的 -n 参数将导致 dtruss 等待并检查与 -n 参数匹配的进程。 -f 选项仍然可以跟踪从 -n 匹配的进程派生的进程。

所有这些意味着，如果您想 dtruss 一个以非特权用户身份运行的进程（为了方便讨论，假设它是 whoami），请按照以下步骤操作：

1. 打开 root shell
2. 运行 dtruss - fn whoami
   • 这将等待名为“whoami”的进程存在
3. 打开一个非特权 shell
4. 运行 whoami
   • 这将正常执行并退出
5. 在 dtruss 窗口中观察系统调用跟踪
   • dtruss 不会自行退出 - 它会继续等待匹配的进程 - 因此完成后退出

---

这个答案重复了 @kenorb 响应的后半部分，但它值得成为一流的回答。

Answer 3

不是你问题的答案，而是你需要知道的事情。 OpenSolaris 通过“特权”（部分）解决了这个问题 - 请参阅 此页面。即使在 OpenSolaris 中，也不可能允许用户在没有任何额外权限的情况下控制自己的进程。
原因是 dtrace 的工作方式 - 它启用内核中的探测。因此，允许非特权用户探测内核意味着用户可以做很多不需要的事情，例如通过在键盘驱动程序中启用探测来嗅探其他用户的密码！

Answer 4

我不知道你是否能让 dtruss 变得像 strace 一样无创。

“sudo [to root] dtruss sudo [back to nonroot] cmd”的一个变体在我的一些快速测试中似乎效果更好：

sudo dtruss -f su -l `whoami` cd `pwd` && cmd....

外部 sudo 当然是这样 dtruss 以 root 身份运行。

内部的 su 又回到了我身边，并且使用 -l 它正确地重新创建了环境，此时我们需要 cd 回到我们开始的地方。

我认为如果您希望环境是用户通常获得的环境，那么“su -l user”比“sudo -u user”更好。但这将是他们的登录环境；不知道有没有好的方法可以通过两个用户的改变来让环境继承。

在您的问题中，您对“sudo dtruss sudo”解决方法的另一项抱怨，除了丑陋之外，是“我一直没有得到 a.out 文件，不知道为什么”。我也不知道为什么，但在我的小测试脚本中，“sudo dtruss sudo”变体也无法写入测试输出文件，而上面的“sudo dtruss su”变体确实创建了输出文件。

Answer 5

OS X 似乎不支持使用 dtrace 来复制您需要的 strace 的所有功能。但是，我建议尝试围绕合适的系统调用创建一个包装器。它看起来像 DYLD_INSERT_LIBRARIES 是您想要修改的环境变量。这与 Linux 的 LD_PRELOAD 基本相同。

进行库函数重写的一种更简单的方法是使用
DYLD_INSERT_LIBRARIES 环境变量（类似于 LD_PRELOAD
Linux）。这个概念很简单：在加载时动态链接器（dyld）
将加载 DYLD_INSERT_LIBRARIES 中指定的任何动态库
在可执行文件想要加载的任何库之前。通过命名函数
与库函数中的函数相同，它将覆盖对
原来的。

原始函数也已加载，并且可以使用
dlsym(RTLD_NEXT,“函数名”);功能。这允许一个简单的
包装现有库函数的方法。

根据 Tom Robinson 的>示例，您可能还需要设置DYLD_FORCE_FLAT_NAMESPACE=1 。

仅覆盖 fopen 的原始示例 (lib_overrides.c) 的副本：

#include <stdio.h>
#include <unistd.h>
#include <dlfcn.h>

// for caching the original fopen implementation
FILE * (*original_fopen) (const char *, const char *) = NULL;

// our fopen override implmentation
FILE * fopen(const char * filename, const char * mode)
{
    // if we haven’t already, retrieve the original fopen implementation
    if (!original_fopen)
        original_fopen = dlsym(RTLD_NEXT, "fopen");

    // do our own processing; in this case just print the parameters
    printf("== fopen: {%s,%s} ==\n", filename, mode);

    // call the original fopen with the same arugments
    FILE* f = original_fopen(filename, mode);

    // return the result
    return f;
}

用法：

$ gcc -Wall -o lib_overrides.dylib -dynamiclib lib_overrides.c
$ DYLD_FORCE_FLAT_NAMESPACE=1 DYLD_INSERT_LIBRARIES=lib_overrides.dylib command-to-test

Answer 6

免责声明：这源自@kenorb的答案。但它有一些优点： PID 比 execname 更具体。我们可以让一个短暂的进程在开始之前等待 DTrace。

这有点竞争条件，但是......

假设我们想要跟踪 cat /etc/hosts：

sudo true && \
(sleep 1; cat /etc/hosts) &; \
sudo dtrace -n 'syscall:::entry /pid == $1/ {@[probefunc] = count();}' $!; \
kill $!

我们使用 sudo true 来确保我们在开始运行任何时间敏感的内容之前清除 sudo 的密码提示。

我们启动一个后台进程（“等待 1 秒，然后做一些有趣的事情”）。同时，我们启动 DTrace。我们已将后台进程的 PID 捕获到 $! 中，因此我们可以将其作为参数传递给 DTrace。

kill $! 在我们关闭 DTrace 后运行。对于我们的 cat 示例来说这不是必需的（进程会自行关闭），但它可以帮助我们结束长时间运行的后台进程，例如 ping。将 -p $! 传递给 DTrace 是执行此操作的首选方法，但在 macOS 上显然需要代码签名的可执行文件。

---

您可以做的另一件事是在单独的 shell 中运行该命令，并监听该 shell。请参阅我的答案。

Answer 7

我不知道如何以普通用户身份运行您想要的内容，因为使用 dtrace 的 dtruss 似乎需要 su 权限。

但是，我相信您正在寻找的命令而不是

dtruss -f sudo -u myusername gcc hello.c

是

sudo dtruss -f gcc hello.c

输入您的密码，dtruss 将以 sudo 权限运行 dtrace，您将获得跟踪以及 a.out 文件。

抱歉我无法提供进一步的帮助。

Answer 8

由于缺乏声誉，我无法对 kenorb 的回答发表评论。但只是想添加 -W 选项将导致 dtruss 等待指定进程启动，以便输出不包含大量不相关的系统调用。所以

sudo dtruss -fW whoami

让我找到了我的问题，因为事情被使用 -fn 选项埋葬了。

Answer 9

我在 bash 提示符下使用 Terminal.app 中的这种诊断和修复崩溃应用程序的通用方法修复了损坏的预览版：

$ sudo dtruss -fn Preview 2>&1 |

输入密码后，我启动了 Preview，当 dtruss 打印

70256/0x19cd898: chdir("/Users/devon/Library/Containers/com.apple.Preview/Data \0", 0x0, 0x7FFF5EAC4BC8) = 0 0

我没有删除这个可能的嫌疑人，而是将其重命名为

$ (cd ~/Library/Containers && mv -i com.apple.Preview com. apple.Preview.~NOT~)

Preview 现在可以正常工作，并为我删除的目录创建了一个新的无毒版本。

如果这是系统范围的问题，您可能更喜欢 grep '"/'
但这会在 /usr、/System 等地方向您发送数百个无辜的项目。

从 MacOSX 11.6 “El Capitan” dtrace/dtruss 开始，默认情况下，dtrace/dtruss 已被禁用 - 请参阅如何 修复它。

我使用这个 bash 函数，例如 $ d /Applications/Preview.app/Contents/MacOS/Preview

d () 
{ 
    case "$*" in 
        [0-9] | [0-9][0-9] | [0-9][0-9][0-9] | [0-9][0-9][0-9][0-9] | [0-9][0-9][0-9][0-9][0-9])
            dtruss -f -p "$*"
        ;;
        *)
            bash -c 'echo -en "\t <<< press return in this window to run after launching trace in root window like this >>> \t # d $" >/dev/tty; (read -u3 3</dev/tty); exec "$0" "$@"' "$@"
        ;;
    esac
}

很久以前，我们使用 Apple 计算机来推送数据，使用 Levi's 牛仔裤来驱动拖拉机 - 两者都已退化为单纯的时装公司。 SF distopia 白痴似乎是相关的。