执行sudo命令时出现异常mount系统调用的原因排查

为什么会出现参数异常的mount调用 #

这些并非用户主动发起的常规挂载，而是系统服务或内核内部执行的特殊挂载操作，常见场景包括：

• systemd在管理服务（如fprintd）时，为实现进程隔离、资源控制，会创建或调整挂载命名空间，触发绑定挂载（bind mount）、递归挂载等操作
• 这类内部挂载不需要完整的常规mount参数（比如dev_name或type为空），因为它们是对已有挂载点的属性调整，而非挂载新的文件系统

sudo触发fprintd的原因是：sudo调用指纹认证服务fprintd时，fprintd依赖systemd的挂载命名空间机制，进而触发这些内部mount调用。第三方内核驱动显示systemd命令，是因为这些挂载操作的根上下文属于systemd（命名空间的创建者），而bpftrace显示的comm是当前执行挂载的进程fprintd。

如何通过mount系统调用的flags精准过滤 #

相比过滤文件类型，检查mount的flags参数是更可靠的方案——内部挂载通常会使用特定的标志组合，你可以在tracepoint中过滤掉带有这些标志的调用：

1. 关键标志的内核定义（来自linux/mount.h）：

   • MS_BIND（0x1000）：绑定挂载，用于将一个挂载点映射到另一个位置，是服务隔离的常用操作
   • MS_REMOUNT（0x20）：重新挂载已有的文件系统，调整挂载属性
   • MS_PRIVATE（0x4000）：设置挂载点为私有，不向其他命名空间传播
   • MS_SLAVE（0x8000）：设置挂载点为从属，仅接收父命名空间的挂载变更

2. 修改bpftrace脚本，过滤掉带有这些标志的调用：

   bpftrace -e 'tracepoint:syscalls:sys_enter_mount { 
       // 排除绑定挂载、重新挂载、私有/从属挂载的内部操作
       if (!(args->flags & (0x1000 | 0x20 | 0x4000 | 0x8000))) {
           printf("%s %s %s %s\n", comm, str(args->dev_name), str(args->dir_name), str(args->type));
       }
   }'
   

3. 若需要更精准过滤，可结合type字段和flags——常规用户挂载的type通常不为空，且不会同时使用上述多个内部标志。

补充说明 #

这类内部挂载是现代Linux系统（尤其是以systemd为init系统的发行版）的正常行为，目的是提升服务安全性和资源隔离能力。通过flags过滤可以有效区分用户主动发起的挂载和系统内部的挂载操作，比单纯过滤空type更健壮。

内容的提问来源于stack exchange，提问作者incubus