libbpf-tools/execsnoop: 通过 execveat(2) 启动的进程永远不会被报告
作者: ojuschugh1创建于 2026年9月12日更新于 2026年9月12日
我注意到 `libbpf-tools/execsnoop` 只钩住了 `sys_enter_execve` 和 `sys_exit_execve`。因此,如果一个进程是通过 `execveat(2)` 启动的(这就是 `fexecve(3)` 在后台使用的方式),它就永远不会出现。没有错误,没有警告,该行根本不存在。
内容来源: iovisor/bcc