Linuxでプログラムの起動を検出する方法は？
簡単なデーモンを書きました。このデーモンは、プログラムを実行すると応答するはずです。これを行う方法？大きなデーモンループの場合：
while(1)
{
/* function which catches new programm running */
}
新しいプログラムを実行している（新しいプロセスを作成している）ときに、Linuxで呼び出す関数は何ですか？
より良い方法があるかどうかはわかりませんが、/procファイルシステムを定期的にスキャンすることができます。
たとえば、/proc/<pid>/exeはプロセスの実行可能ファイルへのシンボリックリンクです。
私のシステム（Ubuntu/RedHat）では、/proc/loadavgには、実行中のプロセスの数（スラッシュの後の数）と、最後に開始されたプロセスのpidが含まれています。デーモンがファイルをポーリングする場合、2つの数値のいずれかを変更すると、/procを再スキャンして新しいプロセスを探す必要があるときに通知されます。
これは決して防弾ではありませんが、私が考えることができる最も適切なメカニズムです。
Linuxの場合、カーネルにインターフェースがあるようです。この問題を調査しているときに、CONFIG_CONNECTORおよびCONFIG_PROC_EVENTSカーネル構成を使用してプロセスの終了時にイベントを取得する人々に出会いました。
もう少しグーグルと私はこれを見つけました：
http://netsplit.com/2011/02/09/the-proc-connector-and-socket-filters/
Procコネクタとソケットフィルタ2011年2月9日にscottによって投稿されました
Procコネクタは、ほとんどの人がめったに出会うことのない興味深いカーネル機能の1つであり、ドキュメントを見つけることはめったにありません。同様にソケットフィルター。これは残念なことです。どちらも非常に便利なインターフェースであり、文書化が適切であれば、さまざまな目的に役立つ可能性があります。
Procコネクタを使用すると、forkやexec呼び出しなどのプロセスイベントの通知や、プロセスのuid、gid、またはsid（セッションID）の変更を受け取ることができます。これらは、カーネルヘッダーで定義されたstruct proc_eventのインスタンスを読み取ることにより、ソケットベースのインターフェイスを介して提供されます。
対象のヘッダーは次のとおりです。
#include <linux/cn_proc.h>
ここでサンプルコードを見つけました：
http://bewareofgeek.livejournal.com/2945.html
/* This file is licensed under the GPL v2 (http://www.gnu.org/licenses/gpl2.txt) (some parts was originally borrowed from proc events example)
pmon.c
code highlighted with GNU source-highlight 3.1
*/
#define _XOPEN_SOURCE 700
#include <sys/socket.h>
#include <linux/netlink.h>
#include <linux/connector.h>
#include <linux/cn_proc.h>
#include <signal.h>
#include <errno.h>
#include <stdbool.h>
#include <unistd.h>
#include <string.h>
#include <stdlib.h>
#include <stdio.h>
/*
* connect to netlink
* returns netlink socket, or -1 on error
*/
static int nl_connect()
{
int rc;
int nl_sock;
struct sockaddr_nl sa_nl;
nl_sock = socket(PF_NETLINK, SOCK_DGRAM, NETLINK_CONNECTOR);
if (nl_sock == -1) {
perror("socket");
return -1;
}
sa_nl.nl_family = AF_NETLINK;
sa_nl.nl_groups = CN_IDX_PROC;
sa_nl.nl_pid = getpid();
rc = bind(nl_sock, (struct sockaddr *)&sa_nl, sizeof(sa_nl));
if (rc == -1) {
perror("bind");
close(nl_sock);
return -1;
}
return nl_sock;
}
/*
* subscribe on proc events (process notifications)
*/
static int set_proc_ev_listen(int nl_sock, bool enable)
{
int rc;
struct __attribute__ ((aligned(NLMSG_ALIGNTO))) {
struct nlmsghdr nl_hdr;
struct __attribute__ ((__packed__)) {
struct cn_msg cn_msg;
enum proc_cn_mcast_op cn_mcast;
};
} nlcn_msg;
memset(&nlcn_msg, 0, sizeof(nlcn_msg));
nlcn_msg.nl_hdr.nlmsg_len = sizeof(nlcn_msg);
nlcn_msg.nl_hdr.nlmsg_pid = getpid();
nlcn_msg.nl_hdr.nlmsg_type = NLMSG_DONE;
nlcn_msg.cn_msg.id.idx = CN_IDX_PROC;
nlcn_msg.cn_msg.id.val = CN_VAL_PROC;
nlcn_msg.cn_msg.len = sizeof(enum proc_cn_mcast_op);
nlcn_msg.cn_mcast = enable ? PROC_CN_MCAST_LISTEN : PROC_CN_MCAST_IGNORE;
rc = send(nl_sock, &nlcn_msg, sizeof(nlcn_msg), 0);
if (rc == -1) {
perror("netlink send");
return -1;
}
return 0;
}
/*
* handle a single process event
*/
static volatile bool need_exit = false;
static int handle_proc_ev(int nl_sock)
{
int rc;
struct __attribute__ ((aligned(NLMSG_ALIGNTO))) {
struct nlmsghdr nl_hdr;
struct __attribute__ ((__packed__)) {
struct cn_msg cn_msg;
struct proc_event proc_ev;
};
} nlcn_msg;
while (!need_exit) {
rc = recv(nl_sock, &nlcn_msg, sizeof(nlcn_msg), 0);
if (rc == 0) {
/* shutdown? */
return 0;
} else if (rc == -1) {
if (errno == EINTR) continue;
perror("netlink recv");
return -1;
}
switch (nlcn_msg.proc_ev.what) {
case PROC_EVENT_NONE:
printf("set mcast listen ok\n");
break;
case PROC_EVENT_FORK:
printf("fork: parent tid=%d pid=%d -> child tid=%d pid=%d\n",
nlcn_msg.proc_ev.event_data.fork.parent_pid,
nlcn_msg.proc_ev.event_data.fork.parent_tgid,
nlcn_msg.proc_ev.event_data.fork.child_pid,
nlcn_msg.proc_ev.event_data.fork.child_tgid);
break;
case PROC_EVENT_EXEC:
printf("exec: tid=%d pid=%d\n",
nlcn_msg.proc_ev.event_data.exec.process_pid,
nlcn_msg.proc_ev.event_data.exec.process_tgid);
break;
case PROC_EVENT_UID:
printf("uid change: tid=%d pid=%d from %d to %d\n",
nlcn_msg.proc_ev.event_data.id.process_pid,
nlcn_msg.proc_ev.event_data.id.process_tgid,
nlcn_msg.proc_ev.event_data.id.r.ruid,
nlcn_msg.proc_ev.event_data.id.e.euid);
break;
case PROC_EVENT_GID:
printf("gid change: tid=%d pid=%d from %d to %d\n",
nlcn_msg.proc_ev.event_data.id.process_pid,
nlcn_msg.proc_ev.event_data.id.process_tgid,
nlcn_msg.proc_ev.event_data.id.r.rgid,
nlcn_msg.proc_ev.event_data.id.e.egid);
break;
case PROC_EVENT_EXIT:
printf("exit: tid=%d pid=%d exit_code=%d\n",
nlcn_msg.proc_ev.event_data.exit.process_pid,
nlcn_msg.proc_ev.event_data.exit.process_tgid,
nlcn_msg.proc_ev.event_data.exit.exit_code);
break;
default:
printf("unhandled proc event\n");
break;
}
}
return 0;
}
static void on_sigint(int unused)
{
need_exit = true;
}
int main(int argc, const char *argv[])
{
int nl_sock;
int rc = EXIT_SUCCESS;
signal(SIGINT, &on_sigint);
siginterrupt(SIGINT, true);
nl_sock = nl_connect();
if (nl_sock == -1)
exit(EXIT_FAILURE);
rc = set_proc_ev_listen(nl_sock, true);
if (rc == -1) {
rc = EXIT_FAILURE;
goto out;
}
rc = handle_proc_ev(nl_sock);
if (rc == -1) {
rc = EXIT_FAILURE;
goto out;
}
set_proc_ev_listen(nl_sock, false);
out:
close(nl_sock);
exit(rc);
}
通知を受け取るには、このコードをrootとして実行する必要があることがわかりました。
ポーリングせずにこれを行う方法を見つけようとすることに興味がありました。 inotify（）は/ procで機能していないようであるため、そのアイデアは出ています。
ただし、動的にリンクされているプログラムは、動的リンカーなど、起動時に特定のファイルにアクセスします。これは、静的にリンクされたプログラムではトリガーされないため、セキュリティの目的では役に立ちませんが、それでも興味深い可能性があります。
#include <stdio.h>
#include <sys/inotify.h>
#include <assert.h>
int main(int argc, char **argv) {
char buf[256];
struct inotify_event *event;
int fd, wd;
fd=inotify_init();
assert(fd > -1);
assert((wd=inotify_add_watch(fd, "/lib/ld-linux.so.2", IN_OPEN)) > 0);
printf("Watching for events, wd is %x\n", wd);
while (read(fd, buf, sizeof(buf))) {
event = (void *) buf;
printf("watch %d mask %x name(len %d)=\"%s\"\n",
event->wd, event->mask, event->len, event->name);
}
inotify_rm_watch(fd, wd);
return 0;
}
これが出力するイベントには、興味深い情報は含まれていません。トリガープロセスのpidはinotifyによって提供されていないようです。ただし、ウェイクアップして/ procの再スキャンをトリガーするために使用できます。
また、短命のプログラムは、これが起動して/ procのスキャンを終了する前に再び消える可能性があることに注意してください。おそらく、それらが存在していたことはわかりますが、それらが何であるかを知ることはできません。そしてもちろん、誰もが動的リンカーへのfdを開閉し続けて、ノイズに溺れる可能性があります。
この小さなプログラム を見てください。SebastianKrahmerによって、リソース効率の高い方法と非常に単純なコードで、まさにあなたが求めていることを実行します。
カーネルでCONFIG_PROC_EVENTSが有効になっている必要がありますが、これは、たとえば最新のAmazon Linuxイメージ（2012.09）には当てはまりません。
更新： Amazonへのリクエスト に続いて、AmazonLinuxイメージカーネルがPROC_EVENTSをサポートするようになりました
forkstatを使用します。これは、procイベントの最も完全なクライアントです。
Sudo forkstat -e exec,comm,core
- GitWeb： http://kernel.ubuntu.com/git?p=cking/forkstat.git
- 発表： http://smackerelofopinion.blogspot.com/2014/03/forkstat-new-tool-to-trace-process.html
Ubuntu、Debian、AURにパッケージ化されています。
その前に cn_proc がありました：
bzr branch lp:~kees/+junk/cn_proc
Makefileには小さな変更が必要です（LDLIBSではなくLDFLAGS）。
cn_procと exec-notify.c （Arnaudが投稿した）は共通の祖先を共有します。 cn_procはさらにいくつかのイベントを処理し、よりクリーンな出力を提供しますが、プロセスがすぐに終了する場合は回復力がありません。
ああ、exec-notifyの別のフォークを見つけました extrace 。これは、子プロセスを親の下にインデントします（pid_depthヒューリスティックを使用）。
選択した検索マシンのキーワードは「プロセスイベントコネクタ」です。
それらを利用する2つのツール exec-notify と cn_proc を見つけました。
私は後者の方が好きですが、どちらも仕事をとてもうまくやっています。
CONFIG_FTRACEおよびCONFIG_KPROBES 使って brendangregg/perf-tools
git clone https://github.com/brendangregg/perf-tools.git
cd perf-tools
git checkout 98d42a2a1493d2d1c651a5c396e015d4f082eb20
Sudo ./execsnoop
別のシェルで：
while true; do sleep 1; date; done
最初のシェルは次の形式のデータを表示します。
Tracing exec()s. Ctrl-C to end.
Instrumenting sys_execve
PID PPID ARGS
20109 4336 date
20110 4336 sleep 1
20111 4336 date
20112 4336 sleep 1
20113 4336 date
20114 4336 sleep 1
20115 4336 date
20116 4336 sleep 1
基準に一致するプログラムがないかオペレーティングシステムをスキャンするか、プログラムがデーモンに報告するのを待つことができます。どの手法を選択するかは、デーモン以外のプログラムをどの程度制御できるかに大きく依存します。
スキャンは、カーネルシステムコールによって、またはユーザースペースでアドバタイズされたカーネルの詳細を読み取ることによって実行できます（/ procファイルシステムの場合と同様）。スキャンは、特定のプログラムが見つかることを保証するものではないことに注意してください。プログラムがスキャンサイクルの間に起動および終了するように管理されている場合、プログラムはまったく検出されません。
プロセス検出のより複雑な手法も可能ですが、より複雑な実装も必要になります。エキゾチックなソリューション（カーネルドライバーの挿入など）にたどり着く前に、本当に必要なものを知ることが重要です。実行するすべてのことは、監視しているシステムから独立しているわけではないからです。あなたは実際にそれを見ることによって環境を変えます、そして環境を見るいくつかの方法はそれを不適切に変えるかもしれません。