Unix-sarnastes operatsioonisüsteemides suhtlevad programmid välismaailma ja operatsioonisüsteemiga väikese funktsioonide komplekti — süsteemikutsungite kaudu. Seetõttu on silmas pidades tõhus jälgida, mis protsessid süsteemikutsungite kaudu toimuvad.

Linuxis programmide "intimaalse elu" jälgimise abi pakub utiliit strace, millele see artikkel on pühendatud. "Vakoidpalaste" seadmete kasutamise näidetele lisatakse lühike ajalugu strace ja sarnaste programmide seadmed kirjeldus.

Sisu

• Liikide päritolu
• Strace'i seade lühidalt: Piglet Trace
• Alused: programmi käivitamine strace'i haldamisel
• Alused: protsessiga ühinemine jooksvalt
• Näide: alamprotsesside jälgimine
• Näide: failide teed asemele deskriptorid
• Näide: failide tõid jälgimine
• Näide: mitmeotstarbelised programmid
• Meistriklass: protsessi virn süsteemikutsungi hetkel
• Meistriklass: vigade süstimine
• Järelsõna

Liikide päritolu

Peamine liides programmide ja Unix OS tuuma vahel on süsteemikutsungid (ingl. system calls, syscalls), programmide suhtlemine välismaailmaga toimub ainult nende kaudu.

Kuid esimeses avalikus Unix versioonis (Version 6 Unix, 1975. aastal puudusid mugavad viisid kasutajaprotsesside käitumise jälgimiseks. Selle probleemi lahendamiseks pakkusid Bell Labs järgmise versiooni (Version 7 Unix, 1979. aastal) uut süsteemikutsungit — ptrace.

ptrace töötati välja peamiselt interaktiivsete silurite jaoks, kuid 80-ndate lõpuks (kaubandusliku ajal System V Release 4) selle alusel ilmusid ja said laialdaselt levinud kitsalt suunatud silurid — süsteemikutsungite jälgijad.

Esimene Strace'i versioon avaldas Paul Kronenburg 1992. aastal comp.sources.sun jaotuses alternatiivina suletud utiliidile trace Sunilt. Nii kloon kui ka originaal olid mõeldud SunOS-i jaoks, kuid 1994. aastaks strace portiti need System V-le, Solaris'ele ja kiiresti populaarsust koguvatele Linux'ile.

Tänapäeval toetab strace ainult Linuxi ja toetub endiselt sellele ptrace, mis on saanud hulga laiendusi.

Kaasaegne (ja väga aktiivne) hooldaja strace — Dmitri Levin. Tänu temale on utiliit saanud edasijõudnud võimalusi, nagu vigade süstimine süsteemikutsungitesse, toetades laia arhitektuuride spektrit ja mis kõige tähtsam, maskot.. Mitte ametlikud allikad väidavad, et valik langes inimeste hääldamise tõttu sõnale «straus» ja ingliskeelsele "strace".

Oluline on ka see, et süsteemi kutsed ptrace ning jälgimisprogrammid ei ole kunagi olnud POSIX-is, hoolimata pikaajalisest ajaloost ning olemasolust Linuxis, FreeBSD-s, OpenBSD-s ja traditsioonilistes Unix-süsteemides.

Strace'i seade lühidalt: Piglet Trace

"You are not expected to understand this" (Dennis Ritchie, kommentaar Version 6 Unix'i lähtekoodis)

Lastepõlvest alates pole ma kunagi mustade kastidega leppinud: ma ei mänginud mänguasjadega, vaid üritasin mõista nende struktuuri (täiskasvanud kasutasid sõna «murdsin», kuid ärge uskuge kurjakuulutavatesse keeltedesse). Võib-olla seetõttu on mulle nii lähedane esimeste Unixi ja kaasaegse avatud lähtekoodiga liikumise mitteformaalne kultuur.

Käesolevas artiklis ei ole mõistlik käsitleda aastate jooksul arenenud strace lähtekoodi. Kuid lugemiseks ei tohiks saladusi jääda. Seetõttu, et näidata sarnaste strace programmide tööprintsiipi, toon välja miniatuurse jälgija koodi — Piglet Trace (ptr). Ta ei oska midagi erilist teha, kuid oluline — programmist väljuvad süsteemi kutsed — väljendab:

$ gcc examples/piglet-trace.c -o ptr
$ ptr echo test > /dev/null
BRK(12) -> 94744690540544
ACCESS(21) -> 18446744073709551614
ACCESS(21) -> 18446744073709551614
unknown(257) -> 3
FSTAT(5) -> 0
MMAP(9) -> 140694657216512
CLOSE(3) -> 0
ACCESS(21) -> 18446744073709551614
unknown(257) -> 3
READ(0) -> 832
FSTAT(5) -> 0
MMAP(9) -> 140694657208320
MMAP(9) -> 140694650953728
MPROTECT(10) -> 0
MMAP(9) -> 140694655045632
MMAP(9) -> 140694655070208
CLOSE(3) -> 0
unknown(158) -> 0
MPROTECT(10) -> 0
MPROTECT(10) -> 0
MPROTECT(10) -> 0
MUNMAP(11) -> 0
BRK(12) -> 94744690540544
BRK(12) -> 94744690675712
unknown(257) -> 3
FSTAT(5) -> 0
MMAP(9) -> 140694646390784
CLOSE(3) -> 0
FSTAT(5) -> 0
IOCTL(16) -> 18446744073709551591
WRITE(1) -> 5
CLOSE(3) -> 0
CLOSE(3) -> 0
unknown(231)
Tracee terminated

Piglet Trace tuvastab umbes sada Linuxi süsteemikutsungit (vt tabel) ja töötab ainult x86-64 arhitektuuril. Õppeeesmärgil on sellest piisavalt.

Vaatame, kuidas meie kloon töötab. Linuxi puhul kasutatakse silumise ja jälgimise jaoks, nagu eelnevalt mainitud, süsteemikutsungit ptrace. See töötab, edastades esimeses argumendis käskude tuvid, millest meid huvitavad ainult PTRACE_TRACEME, PTRACE_SYSCALL ja PTRACE_GETREGS.

Jälgija töö algab tavapärases Unix'i stiilis: fork(2) käivitab lapsprotsessi, kes omakorda kasutab exec(3) käivitab uuritava programmi. Ainult nüanss on siin - väljakutse ptrace(PTRACE_TRACEME) enne exec: tütarprotsess ootab, et vanemprotsess jälgiks teda:

pid_t child_pid = fork();
switch (child_pid) {
case -1:
    err(EXIT_FAILURE, "fork");
case 0:
    /* Laps siin */
    /* Jälgimismood peab olema lubatud. Vanem peab ootama(2), et see
     * juhtuks. */
    ptrace(PTRACE_TRACEME, 0, NULL, NULL);
    /* Asendab end programmiga, mida on vaja käitada. */
    execvp(argv[1], argv + 1);
    err(EXIT_FAILURE, "exec");
}

Vanemprotsess peab nüüd kutsuma wait(2) tütarprotsessis, et veenduda, et jälgimisse režiimi üleminek on toimunud:

/* Parent */

/* First we wait for the child to set the traced mode (see
 * ptrace(PTRACE_TRACEME) above) */
if (waitpid(child_pid, NULL, 0) == -1)
    err(EXIT_FAILURE, "traceme -> waitpid");

Sellega on ettevalmistused lõppenud ja saab otse alustada süsteemikutsungite jälgimist lõpmatus tsüklis.

Kutse ptrace(PTRACE_SYSCALL) tagab, et järgnev wait vanem lõppeb kas enne süsteemikutsungi täitmist või kohe pärast selle lõpetamist. Kahte väljakutset võib vahepeal kasutada mis tahes tegude tegemiseks: väljakutse asendamiseks alternatiivsega, argumentide või tagastatava väärtuse muutmiseks.

Meie jaoks piisab, kui kutsume käsku kaks korda ptrace(PTRACE_GETREGS), et saada registri olek rax enne väljakutset (süsteemikutsungi number) ja kohe pärast (tagastatav väärtus).

Tegelikult, tsükkel:

/* A system call tracing loop, one interation per call. */
for (;;) {
    /* A non-portable structure defined for ptrace/GDB/strace usage mostly.
     * It allows to conveniently dump and access register state using
     * ptrace. */
    struct user_regs_struct registers;

    /* Enter syscall: continue execution until the next system call
     * beginning. Stop right before syscall.
     *
     * It's possible to change the system call number, system call
     * arguments, return value or even avoid executing the system call
     * completely. */
  if (ptrace(PTRACE_SYSCALL, child_pid, NULL, NULL) == -1)
      err(EXIT_FAILURE, "enter_syscall");
  if (waitpid(child_pid, NULL, 0) == -1)
      err(EXIT_FAILURE, "enter_syscall -> waitpid");

  /* According to the x86-64 system call convention on Linux (see man 2
   * syscall) the number identifying a syscall should be put into the rax
   * general purpose register, with the rest of the arguments residing in
   * other general purpose registers (rdi,rsi, rdx, r10, r8, r9). */
  if (ptrace(PTRACE_GETREGS, child_pid, NULL, &registers) == -1)
      err(EXIT_FAILURE, "enter_syscall -> getregs");

  /* Note how orig_rax is used here. That's because on x86-64 rax is used
   * both for executing a syscall, and returning a value from it. To
   * differentiate between the cases both rax and orig_rax are updated on
   * syscall entry/exit, and only rax is updated on exit. */
  print_syscall_enter(registers.orig_rax);

  /* Exit syscall: execute of the syscall, and stop on system
   * call exit.
   *
   * More system call tinkering possible: change the return value, record
   * time it took to finish the system call, etc. */
  if (ptrace(PTRACE_SYSCALL, child_pid, NULL, NULL) == -1)
      err(EXIT_FAILURE, "exit_syscall");
  if (waitpid(child_pid, NULL, 0) == -1)
      err(EXIT_FAILURE, "exit_syscall -> waitpid");

  /* Retrieve register state again as we want to inspect system call
   * return value. */
  if (ptrace(PTRACE_GETREGS, child_pid, NULL, &registers) == -1) {
      /* ESRCH is returned when a child terminates using a syscall and no
       * return value is possible, e.g. as a result of exit(2). */
      if (errno == ESRCH) {
          fprintf(stderr, "nTracee terminatedn");
          break;
      }
      err(EXIT_FAILURE, "exit_syscall -> getregs");
  }

  /* Done with this system call, let the next iteration handle the next
   * one */
  print_syscall_exit(registers.rax);
}

Siin on kogu jälgimisprogramm. Nüüd teate, kust alustada järgmise portimisega DTrace Linuxil.

Alused: programmi käivitamine strace'i haldamisel

Esimese näitena kasutamiseks strace, võib-olla on mõistlik tuua välja kõige lihtsam viis – programmi käitamine strace.

Et mitte kaevuda tavalise programmi lõputusse väljakutsumise nimekirja, kirjutame minimaalse programmi ümber write:

int main(int argc, char *argv[])
{
    char str[] = "write me to stdoutn";
    /* write(2) on lihtne wrapper, mis ümbritseb süsteemikutsumist, seega peaks see olema lihtne
     * leida süsteemikutsumise jälgimisest. */
    if (sizeof(str) != write(STDOUT_FILENO, str, sizeof(str))){
        perror("write");
        return EXIT_FAILURE;
    }
    return EXIT_SUCCESS;
}

Kogume programmi ja veendume, et see töötab:

$ gcc examples/write-simple.c -o write-simple
$ ./write-simple
write me to stdout

Ja lõpuks käivitame selle strace'i all:

$ strace ./write-simple
execve("./write", ["./write"], 0x7ffebd6145b0 /* 71 vars */) = 0
brk(NULL)                               = 0x55ff5489e000
access("/etc/ld.so.nohwcap", F_OK)      = -1 ENOENT (Ei leitud sellist faili või katalooge)
access("/etc/ld.so.preload", R_OK)      = -1 ENOENT (Ei leitud sellist faili või katalooge)
openat(AT_FDCWD, "/etc/ld.so.cache", O_RDONLY|O_CLOEXEC) = 3
fstat(3, {st_mode=S_IFREG|0644, st_size=197410, ...}) = 0
mmap(NULL, 197410, PROT_READ, MAP_PRIVATE, 3, 0) = 0x7f7a2a633000
close(3)                                = 0
access("/etc/ld.so.nohwcap", F_OK)      = -1 ENOENT (Ei leitud sellist faili või katalooge)
openat(AT_FDCWD, "/lib/x86_64-linux-gnu/libc.so.6", O_RDONLY|O_CLOEXEC) = 3
read(3, "177ELF2113        3 >