6

谁能指出我如何理解/解释 dtruss (mac) 或 dtrace 输出的报告的参考？

我只是在一个简单的程序上尝试了 dtruss。例如，我得到以下输出：

PID/THRD  SYSCALL(args)          = return
250/0x103c:  getattrlist("/Volumes/CORE/CORE.app\0", 0x7FFF5E8045D8, 0x7FFF5E804250)         = 0 0
250/0x103c:  geteuid(0x7FFF5E8045E0, 0x0, 0x7FFF5E804A18)        = 501 0
250/0x103c:  geteuid(0x7FFF5E805DF0, 0x0, 0x7FFF5E805E80)        = 501 0
250/0x103c:  geteuid(0x7FFF5E805540, 0x0, 0x7FFF5E805770)        = 501 0
250/0x103c:  getattrlist("/.vol/16777224/21\0", 0x7FFF5E8046D0, 0x7FFF5E803CF0)      = 0 0
250/0x103c:  geteuid(0x7FFF5E805950, 0x0, 0x7FFF5E8059C8)        = 501 0
250/0x103c:  __mac_syscall(0x7FFF8D22057C, 0x50, 0x7FFF5E805990)         = 0 0
250/0x103c:  geteuid(0x7FFF5E805950, 0x0, 0x7FFF5E8059C8)        = 501 0
250/0x103c:  __mac_syscall(0x7FFF8D22057C, 0x51, 0x7FFF5E8059A8)         = -1 Err#30
250/0x103c:  geteuid(0x7FFF5E8057D0, 0x0, 0x7FFF5E805848)        = 501 0
250/0x103c:  getattrlist("/.vol/16777224/21\0", 0x7FFF5E804960, 0x7FFF5E803F80)      = 0 0
250/0x103c:  open("/.vol/16777224/21\0", 0x0, 0x1FF)         = 6 0
250/0x103c:  geteuid(0x7FFF5E805790, 0x0, 0x7FFF5E805920)        = 501 0

我可以看到所有这些系统调用都采用十六进制参数。但是我应该如何解码这些？例如，如何找出它实际上试图打开的文件？

4

2 回答 2

8

您的示例输出确实显示了 open() 系统调用的路径名（“/.vol/16777224/21”）。

dtruss 是一个 shell/DTrace 脚本，类似于 Solaris 的 truss 工具（Linux 上的 strace）。这些工具被编码以了解如何以人类可读的方式显示参数。我在 dtruss 工具中编写了其中的一些代码，但可以对其进行改进以了解更多信息。您可以复制 dtruss 并对其进行自定义以添加一些内容，因为它是一个 shell/DTrace 脚本。

对于显示十六进制数字的系统调用，您可以首先阅读手册页以查看参数是什么。例如，geteuid() 没有参数，因此 dtruss 将 3 打印为十六进制的默认行为令人困惑。它应该打印无，并显示返回值。例如，这可以通过更改以下部分来完成：

 /* print 0 arg output */
 syscall::*fork:return
 /self->start/
 {

至：

 /* print 0 arg output */
 syscall::*fork:return,
 syscall::geteuid:return
 /self->start/
 {
于 2014-03-03T00:32:51.173 回答
2

dtrace是一个低级但功能强大的工具，可让您监视许多内核级事件。监控或显示的内容在 dtrace 脚本中指定。这些系统调用是您正在监视的程序调用的内核级函数（而不是用户级函数本身）。

dtrace允许您监控/量化每个进程或进程组的 cpu、磁盘、内存、文件系统、网络等。

一个参考是Open Solaris DTrace 站点，但是有许多基于 Web 的指南和操作方法。

要查看您将使用的进程打开了哪些文件：

dtrace -n 'syscall::open*:entry { printf("%s %s",execname,copyinstr(arg0)); }'
于 2013-02-11T06:42:27.140 回答