カーネルモジュールのファイル実行トレース [閉じる]

調べてみましたkprobesか？または具体的にjprobes。

jprobeを使用すると、関数execve（または他のカーネル関数）に接続でき、関数が実行される前にその引数を確認できます。仕組みは、呼び出し元が追跡したい関数と同じ署名を持つ関数を提供し、それを呼び出して登録することですjprobe_register。私たちはこの関数をと呼びますmy_execve。その後、実際の関数を実行する前に、カーネルは最初にすべてのコンテキスト（パラメータ、レジスタ値など）をスタックに保存し、コントロールをスタックに渡してそのコンテキストのコピーを渡しますmy_execve。返されるとmy_execve（jprobe_return代わりに使用return）、カーネルは元の関数によって保存されたコンテキストを復元し、execve実行を再開します。これは、コンテキストへの変更が元の機能の実行に影響しないことを意味します。ここで例を見ることができます。https://github.com/bytefire/esct/blob/master/esct.c。

レジスタの値を変更するなど、コンテキストを操作したい場合は、使用するとkprobes同様のパターンに従いますが、少し意味があります。