如何在Linux中监控子进程 Linux strace追踪调用-linux运维-PHP中文网

如何在Linux中监控子进程 Linux strace追踪调用

P粉602998670

发布： 2025-08-29 08:15:01

原创

492人浏览过

使用strace或ptrace监控Linux子进程：strace通过-f选项跟踪子进程的系统调用，适合快速诊断；ptrace可编写自定义程序实现更细粒度控制，但开发复杂。性能优化可通过减少跟踪范围、异步处理等方式实现。

如何在linux中监控子进程 linux strace追踪调用

简而言之，在Linux中监控子进程，你可以使用

strace

登录后复制

工具来追踪系统调用，或者编写自定义的监控程序，利用

ptrace

登录后复制

系统调用进行更细粒度的控制。选择哪种方法取决于你需要的监控深度和控制程度。

使用

strace

登录后复制

追踪子进程的系统调用，或者编写自定义的监控程序，利用

ptrace

登录后复制

系统调用进行更细粒度的控制。

如何使用

strace

登录后复制

监控子进程？

strace

登录后复制

是一个强大的命令行工具，可以用来追踪进程执行期间的系统调用和信号。它非常适合快速诊断问题，或者理解程序在做什么。要监控子进程，你可以使用

-f

登录后复制

选项，这个选项会让

strace

登录后复制

跟踪所有由目标进程 fork 产生的子进程。

例如，假设你有一个名为

parent_process

登录后复制

的程序，它会 fork 出一个子进程，你可以这样使用

strace

登录后复制

：

strace -f ./parent_process

登录后复制

strace

登录后复制

会输出

parent_process

登录后复制

及其所有子进程的系统调用。输出可能会非常多，所以你可能需要使用其他的

strace

登录后复制

选项来过滤输出，比如

-e

登录后复制

选项可以用来指定要跟踪的系统调用类型。例如，只跟踪

open

登录后复制

和

read

登录后复制

系统调用：

strace -f -e trace=open,read ./parent_process

登录后复制

这会大大减少输出，使你更容易找到你感兴趣的信息。不过，

strace

登录后复制

的输出可能不太容易阅读，需要一些经验才能快速理解。而且，

strace

登录后复制

对性能有一定的影响，所以不适合在生产环境长时间运行。

如何使用

ptrace

登录后复制

编写自定义监控程序？

如果你需要更细粒度的控制，或者需要对监控数据进行实时分析，那么编写自定义的监控程序可能更适合。

ptrace

登录后复制

是 Linux 提供的一个系统调用，允许一个进程（tracer）控制另一个进程（tracee）。tracer 可以读取和修改 tracee 的内存、寄存器，以及拦截 tracee 的系统调用和信号。

编写

ptrace

登录后复制

程序相对复杂，但它可以提供非常强大的功能。以下是一个简单的

ptrace

登录后复制

示例，它会跟踪一个进程的

execve

登录后复制

系统调用：

万物追踪

AI 追踪任何你关心的信息

查看详情

#include <stdio.h>
#include <stdlib.h>
#include <unistd.h>
#include <sys/ptrace.h>
#include <sys/types.h>
#include <sys/wait.h>
#include <sys/reg.h>
#include <sys/user.h>

int main(int argc, char *argv[]) {
    if (argc < 2) {
        fprintf(stderr, "Usage: %s <program>\n", argv[0]);
        exit(1);
    }

    pid_t pid = fork();
    if (pid == 0) {
        // Child process (tracee)
        ptrace(PTRACE_TRACEME, 0, NULL, NULL);
        execvp(argv[1], &argv[1]); // Execute the target program
        perror("execvp");
        exit(1);
    } else if (pid > 0) {
        // Parent process (tracer)
        int status;
        waitpid(pid, &status, 0); // Wait for the tracee to stop

        ptrace(PTRACE_SETOPTIONS, pid, NULL, PTRACE_O_TRACESYSGOOD); // Enable syscall entry/exit traps

        while (1) {
            ptrace(PTRACE_SYSCALL, pid, NULL, NULL); // Continue tracee until next syscall
            waitpid(pid, &status, 0);

            if (WIFEXITED(status)) {
                break; // Tracee exited
            }

            // Check if it's a syscall entry
            if (WIFSTOPPED(status) && (WSTOPSIG(status) == (SIGTRAP | 0x80))) {
                struct user_regs_struct regs;
                ptrace(PTRACE_GETREGS, pid, NULL, &regs);

                // Check if it's execve syscall (syscall number 59 on x86_64)
                if (regs.orig_rax == 59) {
                    printf("execve called!\n");
                    // You can access arguments of execve here using regs
                }
            }
        }
    } else {
        perror("fork");
        exit(1);
    }

    return 0;
}

登录后复制

这个程序首先 fork 出一个子进程，然后在子进程中执行目标程序。父进程使用