在 Linux 中运行时更改系统调用函数指针

Question

我有一个巨大的项目，正在创建很多我想跟踪它们的文件和文件夹。 为了调试代码，我想替换系统调用行为来检查发生了什么。

我的想法是在使用系统调用的同一位置挂接一个新函数，并在应用程序启动后查看应用程序的行为。更清楚地说，这是我需要的示例：

该应用程序正在创建一个烦人的文件夹，例如 /tmp/annoying_folder。所以我想拦截每个 mkdir 系统调用并检查它的参数是否是烦人的文件夹，如果是这种情况，则强制它返回错误，这样我就可以找到哪个进程正在执行此操作，并且还知道它是堆栈调用。

我到目前为止所尝试的是使用 LD_PRELOAD，这在此应用程序的情况下不起作用，因为它正在执行直接系统调用，而不是通过 libc。

我在使用 gdb 时遇到问题，因为我不确定哪个进程正在执行这些调用，因为应用程序是由调用多个其他进程的脚本启动的。

通过 strace 我可以看到我正在寻找的 mkdir 调用，但这对我没有多大帮助，因为我还需要知道应用程序的堆栈跟踪调用来找出正在生成的代码在哪里这。

因此，一个有趣的选择是使用 LD_PRELOAD 加载带有构造函数的库，该函数将更改 mkdir 的挂钩点并将其重定向到我的自定义函数。但我需要有关如何对 Linux 系统调用执行此操作的指导。

有人知道如何在运行时更改系统调用函数指针吗？

Answer 1

我无法按照预期拦截这些系统调用，但我发现了 stap 实用程序的一个有趣的解决方法。

我创建了以下脚本：

#! /bin/stap -g

probe nd_syscall.mkdir.return {
  folder_name = user_string(@entry(pointer_arg(1)), "-");
  folder_name_prefix = substr(folder_name, 0, 9);
  if(folder_name_prefix == "/tmp/test") {
    printf("[%d] [%d] [%16s] [%s]\n", uid(), pid(), execname(), folder_name);
    raise(%{ SIGSTOP %});
}

然后我能够向进程发送停止信号，然后连接 gdb 来分析应用程序堆栈跟踪。