使用 LD_PRELOAD 拦截统计调用

Question

我正在尝试编写一个共享的 object 来拦截一些文件系统 API 调用，例如来自应用程序的打开、关闭、读取、写入等。 拦截是使用 LD_PRELOAD 完成的。 我有条不紊地使用 strace 找出应用程序调用的 API，并在 LD_PRELOAD 加载的共享库中实现它们。 当谈到 stat 时，我发现调用了 __xstat 和 __xstat64 而不是 stat 并且我已经覆盖了这两个函数。 我能够捕获这些 API 呼叫。 但是，在一个特定环境中，当我使用 strace 时，我看到直接调用 stat() 本身。 像下面一样

25083 03:11:28.424859 close(13)         = 0 <0.000045>
>> 25083 03:11:28.424966 stat("/somedir/somefile", 0x7ffe751d2430) = -1 ENOENT (No such file or directory) <0.000050>
25083 03:11:28.425067 clock_gettime(CLOCK_MONOTONIC, {786855, 130369007}) = 0 <0.000029>

我注意到的区别是 stat 是直接调用的，我在其他环境中看不到。 应用程序可能会调用 stat()，但我看到 stat 在内部调用 __xstat 或 __xstat64。 我注意到的另一件事是 stat() 甚至没有在 libc.so 库中实现。 所以这个 stat() 似乎是对 stat() 系统调用的直接调用。 我如何确认这一点？ 应用程序如何直接调用 stat() 系统调用？

Answer 1

所以这个 stat() 似乎是对 stat() 系统调用的直接调用。 我如何确认这一点？

使用catch syscall stat运行gdb内部的程序。 当系统调用发生时，用bt检查调用堆栈并注意你是否在 libc.so 中。

应用程序如何直接调用 stat() 系统调用？

使用内联汇编。 这是x86-64的示例：

#include <stdio.h>
#include <sys/stat.h>
#include <sys/syscall.h>

int main(int argc, char **argv) {
    if(argc < 2) return 1;
    struct stat s;
    long rv;
    __asm__ volatile(
        "syscall"
        : "=a"(rv)
        : "a"(SYS_stat), "D"(argv[1]), "S"(&s)
        : "rcx", "r11", "memory"
    );
    if(rv) return 1;
    printf("%zu\n", s.st_size);
}