Linux SIGINT被动捕获

Question

Linux内核是否有地方被动地记录SIGKILL（kill -9）关闭请求？

我有一个正在任意关闭的JVM，并且我怀疑，根据现有的证据，这个流失的进程正在以某种方式关闭JVM进程，从而关闭了它。 我拥有完善的日志记录，但是为了证实自己的怀疑，我必须将日志记录级别提高到压倒性的水平。

我已经通过/ var / log进行了详尽的研究，似乎找不到任何可能捕获和记录这些SIGKILL事件的地方。 有什么想法可以找到这些事件（如果存在）吗？

Answer 1

选项1：

如果您的内核支持ftrace （很有可能），请尝试使用Brendan Gregg的perf-tools中的killsnoop 工具 ：

wget https://raw.githubusercontent.com/brendangregg/perf-tools/master/killsnoop
chmod +x killsnoop
sudo ./killsnoop -s

killsnoop_example.txt文件中有更多用法示例。

选项2 ：（被动捕获）

如果您的内核不支持ftrace，则可以使用https://github.com/nfedera/kernel-siglog中的kernel-siglog内核模块：

git clone https://github.com/nfedera/kernel-siglog.git

cd kernel-siglog/
make

sudo insmod siglog.ko

插入siglog内核模块后，它将在/proc/siglog记录最后10,000个信号

我遇到了类似的问题，并发现了使用此内核模块的罪魁祸首。 我将其插入客户服务器上数周，当服务被cat /proc/siglog ，我登录了，执行了cat /proc/siglog ，发现我的服务被客户自己的越野车监视脚本杀死了。