strace / ltrace / ptrace / ftrace
strace / ltrace / ptrace / ftrace — 作用与区别速览
本文简明介绍四类常见跟踪工具与机制：strace、ltrace、ptrace、ftrace，说明它们的用途、实现机制、典型用法与主要差异，方便排查用户态与内核态问题时选用。
总览
- ptrace：Linux 的系统调用接口（API），供调试/跟踪进程使用。
- strace：基于 ptrace，跟踪系统调用（syscall）及其参数/返回值。
- ltrace：跟踪用户态库函数（动态链接的函数调用），通常也基于 ptrace 或 LD_PRELOAD。
- ftrace：内核内建的跟踪框架，跟踪内核函数、上下文切换、IRQ、调度等，需在内核/tracefs 中使用（通常需 root）。
ptrace
- 作用：进程间的控制/调试接口（ptrace(2)）。调试器（gdb）、strace 等通过它控制目标进程、设置断点、单步、读取寄存器/内存、截获系统调用等。
- 特点：系统调用接口，不是独立工具；权限受 /proc/sys/kernel/yama/ptrace_scope 限制。
- 简单示例（C，演示 attach/单步 syscall）：
// ...示意，不完整
#include <sys/ptrace.h>
#include <sys/wait.h>
// PTRACE_ATTACH(pid); waitpid(pid,...); PTRACE_SYSCALL(pid,0);
strace
- 作用：跟踪进程的系统调用（open/read/write/execve/…）、信号，以及系统调用参数与返回值。
- 典型场景：定位文件/权限/IO/exec 相关错误、分析系统调用行为与耗时。
- 优点：直接看到内核边界的调用，定位系统资源问题非常有效。
- 限制：不显示用户态函数内部调用（如 printf、malloc 的内部实现），对 statically linked 二进制仍可跟踪 syscall。
- 常用命令：
# 跟踪新进程
strace -f -o strace.out -e trace=open,read,write command args
# 附着到 PID
strace -p <pid> -f -o trace.%p
ltrace
- 作用：跟踪用户态库函数调用（如 libc、动态加载库的函数调用）。
- 典型场景：查看程序调用了哪些 libc/动态库函数、参数与返回值，用于排查库间交互问题或 Hook 行为分析。
- 实现：早期通过 LD_PRELOAD 拦截，现代通常结合 ptrace；对静态链接或内联函数有限制。
- 限制：不能看到内核态系统调用（除非库函数最终触发 syscall），也可能漏掉内联或静态链接的函数。
- 常用命令：
ltrace -f -o ltrace.out ./program
ltrace -p <pid>
ftrace
- 作用：内核级函数跟踪框架，用于跟踪内核函数调用、调度事件、软中断、IRQ、函数入/出、性能事件等。
- 特点：高灵活性、低级别（内核空间），适合内核开发与调试、性能分析。通常通过 /sys/kernel/debug/tracing（tracefs）配置，或使用工具 trace-cmd / perf / bpftrace。
- 权限：需 root。
- 简单使用（示例）：
# 切换 tracer 并记录内核函数调用（需要 root）
echo function > /sys/kernel/debug/tracing/current_tracer
echo '__do_page_fault' > /sys/kernel/debug/tracing/set_ftrace_filter
echo 1 > /sys/kernel/debug/tracing/tracing_on
cat /sys/kernel/debug/tracing/trace
echo 0 > /sys/kernel/debug/tracing/tracing_on
- 也可用 trace-cmd、perf 或 bpftrace 提供更友好的界面与更复杂的过滤。
关键区别总结
- 跟踪对象：
- ptrace：接口（用于实现跟踪/调试）。
- strace：系统调用（内核边界）。
- ltrace：用户态库函数调用（动态库）。
- ftrace：内核函数与事件（内核空间）。
- 运行层次：ltrace/strace 在用户空间与内核交互点；ftrace 在内核空间；ptrace 为实现机制。
- 权限：ftrace 通常需 root；strace/ltrace 可能需与目标同一用户或受 ptrace_scope 限制。
- 可见性：strace 看不到函数内部逻辑；ltrace 看不到内核态细节；ftrace 看不到用户态函数栈（除特殊工具）。
何时用哪个？
- 程序因文件/权限/打开失败等系统资源问题报错 => 用 strace。
- 想看程序调用了哪些 libc/第三方库函数、参数传递问题 => 用 ltrace。
- 需要写调试器或做精细的单步控制 => 使用 ptrace API（或用 gdb）。
- 调试内核、跟踪内核函数路径、研究调度/中断/驱动行为 => 用 ftrace（或 trace-cmd/perf/bpftrace）。
常见注意事项
- ptrace_scope：现代发行版可能限制 attach（/proc/sys/kernel/yama/ptrace_scope），必要时查看/调整（需要 root）。
- 性能开销：strace/ltrace 会显著降低程序执行速度；ftrace 可配置采样/过滤以降低影响。
- 静态链接/内联代码：ltrace 可能漏掉静态链接或被编译器内联的函数。
- 安全与隐私：跟踪会泄露参数/数据，谨慎在生产环境使用。