查找特定系统调用返回特定错误的进程

Question

在 OS X El Capitan 上，我的日志文件 system.log 有时会包含数百行以下内容

03/07/2016 11:52:17.000 kernel[0]: hfs_clonefile: cluster_read failed - 34

但没有迹象表明发生这种情况的过程。除此之外，磁盘工具找不到文件系统的任何故障。但我仍然想知道发生了什么，在我看来，dtrace 应该非常适合找出错误的进程，但我被卡住了。我知道函数返回探针，但它似乎需要 PID，例如

dtrace -n 'pidXXXX::hfs_clonefile:return { printf("ret: %d", arg1); }'

有没有办法告诉 dtrace 探测所有进程？然后我将如何打印进程名称？

Answer 1

您可以尝试这样的事情（我无法访问 OS X 机器来测试它）

#!/usr/sbin/dtrace -s
# pragma D option quiet

fbt::hfs_clonefile:return
/ args[ 1 ] != 0 /
{
    printf( "\n========\nprocess: %s, pid: %d, ret value: %d\n", execname, pid, args[ 1 ] );
    /* get kernel and user-space stacks */
    stack( 20 );
    ustack( 20 );
}

对于fbt 探测器，args[ 1 ] 是函数返回的值。

只要返回值不为零，dTrace 脚本就会从hfs_clonefile() 打印出进程名称、pid 和返回值。它还添加了内核和用户空间堆栈跟踪。这应该足以让您找到错误的来源。

无论如何，假设它可以在 OS X 上运行。

Answer 2

您可以使用syscall 提供程序而不是pid 提供程序来执行此类操作。比如：

sudo dtrace -n 'syscall::hfs_clonefile*:return /errno != 0/ { printf("ret: %d\n", errno); }'

上述命令是基于 DTrace 的内置 errinfo 实用程序中使用的一个次要变体。您可以在任何编辑器中查看/usr/bin/errinfo 以了解其工作原理。

但是，至少就 DTrace 而言，在我的 El Capitan (10.11.5) 系统上没有 hfs_clonefile 系统调用：

$ sudo dtrace -l -n 'syscall::hfs*:'

   ID   PROVIDER            MODULE                          FUNCTION NAME
dtrace: failed to match syscall::hfs*:: No probe matches description

另外，不幸的是，syscall 提供程序被 El Capitan (macOS 10.11) 引入的系统完整性保护功能阻止跟踪系统进程。因此，您将不得不禁用 SIP，这会降低您的系统安全性。