无法使用 eBPF 跟踪某些系统调用

Question

我正在使用密件抄送跟踪多个系统调用，为什么我可以使用简单的attach_kprobe 跟踪诸如write、close、fchown 之类的系统调用，但无法跟踪诸如stat、@ 之类的系统调用987654326@?

我假设是其他系统调用，我无法跟踪但尚未找到哪些系统调用。我如何追踪stat、fstat 以及它们与通常的write、close 有何不同？

示例代码：

b = BPF(text=prog)
b.attach_kprobe(event=b.get_syscall_fnname("fstat"), fn_name="syscall_fstat")

在我的 prog 中，我做了一个简单的打印

int syscall_fstat(void *ctx){
    bpf_trace_printk("fstat\n");
    return 0;
}

Answer 1

我应该使用 newstat，而不是使用 stat。