软件分析 Linux

https://zhidao.baidu.com/question/528632996.html	在linux内核如何改写内核函数,来监控一个进程对文件做了哪些的操作，并把具体的操作打印出来。
https://www.linuxidc.com/Linux/2018-01/150654.htm

在linux内核如何改写内核函数,来监控一个进程对文件做了哪些的操作，并把具体的操作打印出来。
比如:在用户区运行了一个关于恶意代码的程序（会产生一个进程），通过改写内核函数可以达到监控它（进程）对关键文件做了哪些的操做，然后显示给用户来看，来做分析使用，判断是否这段… 展开
 我来答 分享 举报 浏览 1217 次
4个回答 #活动# 超级福利来袭， 回答赢100元京东卡！
匿名用户
2013-03-01
如果只是监视普通文件操作，一般情况下不需要修改内核。
运行“strace -e file -o log.txt 可执行文件名" 即可。对已经运行的程序，用strace -p pid。
最创建子进程的，加-f参数。具体man strace。
更多追问追答
追问
我这里想要解决的问题是系统里面的设置的一些关键文件，把监控模块加载到在内核中，来编一个监控测试程序来监控外来的进程对这些关键文件进行了哪些的操作，以日志的方式显示出来。
追答
内核已经有了inotify, dnotify, fanotify等。可以在用户空间做，具体man inotify。