linux的trace如何追踪系统调用

在Linux中，可以使用trace-cmd或bpftrace工具来追踪系统调用

1. 使用trace-cmd追踪系统调用：

首先，确保已经安装了trace-cmd。在Debian和Ubuntu上，可以使用以下命令安装：

sudo apt-get install linux-tools-common linux-tools-generic

然后，使用以下命令追踪系统调用：

sudo trace-cmd trace=syscalls

这将启动一个持续的系统调用追踪，你可以在另一个终端中使用Ctrl+C停止它。追踪结果将显示在终端中。

2. 使用bpftrace追踪系统调用：

首先，确保已经安装了bpftrace。在Debian和Ubuntu上，可以使用以下命令安装：

sudo apt-get install bpftrace

然后，创建一个名为trace_syscalls.bt的脚本文件，并添加以下内容：

#!/usr/bin/env bpftrace

// 定义一个hash map来存储系统调用名称和对应的ID
BEGIN {
    printf("Tracing syscalls... Hit Ctrl-C to end.
");
}

// 追踪系统调用
tracepoint:syscalls:sys_enter_* {
    @num[tid] = nsecs;
    @start[tid] = nsecs;
}

// 输出系统调用信息
END {
    printf("%-30s %-10s %s
", "SYSCALL", "TIME(ns)", "COMM");
    print(@num);
    print(@start);
}

给脚本文件添加可执行权限：

chmod +x trace_syscalls.bt

然后，运行脚本：

sudo ./trace_syscalls.bt

这将启动一个持续的系统调用追踪，你可以在另一个终端中使用Ctrl+C停止它。追踪结果将显示在终端中。

注意：这些方法仅适用于Linux内核版本4.8及更高版本。如果你使用的是较旧的Linux内核版本，可能需要使用其他方法，如SELinux或AppArmor。