Macos Ktrace“ -t c＆quot”系统呼叫跟踪在较新的MacOS上可用吗？

Question

有人知道是否有一种方法可以通过MacOS 12+中的KTRACE追踪系统调用？ （显然，这是通过禁用的SIP。）

过去可以通过以下方式跟踪系统调用：

sudo ktrace trace -s -S -t c -c ./some_binary

现在-t是简单的

将时间打印为Mach绝对时间戳，而不是默认的本地壁时钟时间。

Answer 1

-t trstr的替换似乎是-f filter-desc。新的过滤器更灵活，但可以说使用一些提示。这是 manpage 必须说：

-f Filter-desc

将过滤器描述应用于跟踪会话，控制哪个
事件被追踪。

滤波器描述

过滤器描述是类和子类的逗号分隔列表
指示应追踪哪些事件的指定器。一堂课
指定符以c开始，并包含一个单个字节，在
十进制或十六进制。子类规范符以s开始
两个字节。高字节是班级，低字节是
该类的子类。

例如，此过滤器描述将启用类1和37和
第5类的子类33和35：c1，c0x25，s0x0521，s0x0523。

您可以过滤的可能值在 bsd/sys/kdebug.h 在类和子类定义下。

因此，如果您对BSD Syscalls感兴趣，那就是-f C4（类4 = dbg_bsd）。 Mach Syscalls（又称陷阱）将为-f S0X010C（类1 = dbg_mach，subclass 0c = dbg_mach_excp_excp_sc） 。

因此，要显示BSD Syscalls和Mach陷阱：

sudo ktrace trace -Ss -f C4,S0x010c -c ./some_binary

根据您的追求，您可能还需要C2，C3（dbg_network 和dbg_fsystem） 。