在POSIX环境中,如何跟踪子进程访问的文件?

我有两个想法。

-“真正的方式”。

我想你想要 ptrace

本质上,此调用用于编写调试器。注意 PTRACE_SYSCALL ptrace 调用以查看进程的内存,以观察它是否是调用 open() .

-懒散、刻板的方式。

你可以使用 LD_PRELOAD 开() , dlopen() 预载 此共享库中的环境变量,因此动态链接器将在进程启动时加载它。

这种方法的一个缺点是,如果一个进程知道它正在以这种方式被观察,它可以重置环境变量并再次执行自身,从而逃避检测。我能想到的另一个问题是,作为一个安全特性,如果您是root用户,那么这个环境变量是不受尊重的。