proto.lib

ptrace(): cách strace/gdb theo dõi một process

strace và gdb dùng syscall ptrace() để trở thành 'debug parent' của tracee: PTRACE_ATTACH/PTRACE_SEIZE gắn vào process đích, PTRACE_SYSCALL dừng nó ở mỗi lần vào/ra syscall, tracer đọc thanh ghi/bộ nhớ qua PTRACE_PEEKDATA rồi báo cáo qua waitpid(); breakpoint của gdb là một lệnh trap (int3) được chèn tạm vào code.

Operating SystemsNâng cao2026-08-20
ptrace(): cách strace/gdb theo dõi một process

Tags

#ptrace#strace#gdb#syscall#debugger#waitpid#yama

Tài liệu tham khảo

Mở rộng

Animation gốc là một file HTML tự chứa, có thể nhúng lại ở bất kỳ trang nào khác. Mở file gốc

Liên quan

Operating SystemsNâng cao

io_uring: SQPOLL và registered buffers — loại syscall khỏi I/O path

io_uring dùng hai ring buffer dùng chung (SQ và CQ) giữa user space và kernel để xếp hàng loạt request và gặt kết quả mà không cần syscall cho từng thao tác; với SQPOLL, một kernel thread liên tục poll ring nên ngay cả io_uring_enter() cũng có thể bỏ qua, còn registered files/buffers giúp kernel bỏ luôn bước tra cứu fd/pin trang mỗi lần.

#io-uring#sqpoll#syscall#ring-buffer
Operating SystemsNâng cao

Chi phí của các bản vá speculative execution

Các cuộc tấn công thực thi suy đoán (Spectre/Meltdown) cho phép một ngữ cảnh dò ra dữ liệu của ngữ cảnh khác qua kênh phụ cache, nên kernel chèn các rào (barrier), flush và cách ly không gian địa chỉ tại những biên quan trọng như syscall/context switch và guest/host — mỗi rào đều tốn chu kỳ CPU thật.

#spectre#meltdown#speculative-execution#syscall
Operating SystemsNâng cao

seccomp-BPF: sandbox bằng cách lọc syscall

Một process cài một chương trình BPF vào seccomp filter (một chiều, được kế thừa qua fork/exec); mỗi lần process gọi syscall, kernel chạy BPF này trên số syscall và các tham số nguyên để quyết định ALLOW, trả ERRNO giả, KILL tiến trình, sinh SIGSYS (TRAP), hay báo cho một supervisor qua notify — nhưng filter không thể đọc dữ liệu ở phía sau con trỏ tham số.

#seccomp#bpf#sandbox#syscall-filter