为什么在我的 dtruss 跟踪中没有任何 execve 调用？

Question

我有这样的脚本：

script.sh

#!/bin/bash

clang -v

如果我对其执行 dtruss，那么我希望看到对 clang 的 execve 调用。

$ sudo dtruss -f -a -e ./script.sh

但是，跟踪不包含 execve。而是出现错误：

...
 1703/0x16931:       856       4      0 sigaction(0x15, 0x7FFEE882A3B8, 0x7FFEE882A3F8)      = 0 0
 1703/0x16931:       858       4      0 sigaction(0x16, 0x7FFEE882A3C8, 0x7FFEE882A408)      = 0 0
 1703/0x16931:       874       4      0 sigaction(0x2, 0x7FFEE882A3C8, 0x7FFEE882A408)       = 0 0
 1703/0x16931:       881       4      0 sigaction(0x3, 0x7FFEE882A3C8, 0x7FFEE882A408)       = 0 0
 1703/0x16931:       883       4      0 sigaction(0x14, 0x7FFEE882A3C8, 0x7FFEE882A408)      = 0 0
dtrace: error on enabled probe ID 2149 (ID 280: syscall::execve:return): invalid address (0x7fc2b5502c30) in action #12 at DIF offset 12
 1703/0x16932:      2873:        0:       0 fork()       = 0 0
 1703/0x16932:      2879     138      5 thread_selfid(0x0, 0x0, 0x0)         = 92466 0
 1703/0x16932:      2958       8      0 issetugid(0x0, 0x0, 0x0)         = 0 0
 1703/0x16932:      2975       8      1 csrctl(0x0, 0x7FFEEE21DC3C, 0x4)         = 0 0
 1703/0x16932:      2985      12      6 csops(0x0, 0x0, 0x7FFEEE21E550)      = 0 0
 1703/0x16932:      3100      13      3 shared_region_check_np(0x7FFEEE21DA98, 0x0, 0x0)    
...

导致此错误的原因是什么？
如何显示 execve 命令，以便我可以看到调用的程序及其参数？

Answer 1

这意味着 dtruss 在内部使用的 DTrace 脚本正在访问一个无效的内存地址，这是在它试图跟踪您感兴趣的 execve 调用时发生的。所以基本上，dtruss（或者可能是 DTrace 本身）似乎有一个错误，阻止您获得所需的信息。不幸的是，Apple 在保持 DTrace 和依赖于它的工具在 macOS 上运行良好方面并不是最好的:-/.

对于 Bash / shell 脚本，您可以通过在脚本顶部添加 set -x 使其打印它运行的每个命令（更多信息 in this other answer).

如果你愿意，你也可以尝试直接使用 DTrace -- 这是一个非常简单的单行代码（我自己还没有尝试过运行如果有拼写错误，我深表歉意）：

sudo dtrace -n 'proc:::exec-success /ppid == $target/ { trace(curpsinfo->pr_psargs); }' -c './script.sh'

其工作方式是：

proc:::exec-success：跟踪系统中的所有 exec-success 事件，当 exec*-family 系统调用 returns成功。
/ppid == $target/：过滤器，这意味着它仅在父进程的 PID (ppid) matches the PID returned for the process started by the -c option we passed to the dtrace command ($target) 时触发。
{ trace(curpsinfo->pr_psargs); }：这是当事件触发并匹配我们的过滤器时要采取的操作。我们简单地打印 (trace) 传递给进程的参数，这些参数存储在 curpsinfo 变量中。

（如果失败并出现类似的错误，则该错误可能出在 macOS 的 curpsinfo 某处实现中。）

为什么在我的 dtruss 跟踪中没有任何 execve 调用？

Why are there not any execve calls in my dtruss trace?

macos

dtrace

dtruss