咨询bpftrace execsnoop无法捕获echo命令的原因及捕获范围

核心原因：echo是Bash内置命令 #

直接执行echo或echo a时，Bash不会调用execve()系统调用——因为echo属于Bash的内置命令，Bash会直接在当前shell进程内执行该命令的逻辑，不需要创建新进程，也不用调用exec系列系统调用加载外部二进制文件，自然不会被追踪execve()的execsnoop捕获。

测试场景的差异解释 #

你测试的几个能被捕获的场景，本质都是触发了execve()：

• ls：Ubuntu中ls是外部二进制文件（路径/usr/bin/ls），Bash会调用execve()加载它
• /usr/bin/echo、/usr/bin/echo a：明确指定了外部二进制的路径，Bash会调用execve()加载该文件
• strace echo a：这里是strace进程调用execve()去加载/usr/bin/echo，execsnoop捕获的是strace触发的exec事件，而非直接执行echo a的操作

验证方法 #

可以通过以下命令确认echo是内置命令：

type echo

输出会显示：

echo is a shell builtin

如果想强制让Bash调用外部echo并被execsnoop捕获，可临时禁用内置命令：

enable -n echo
echo a

执行完后用enable echo即可恢复内置命令功能。

补充说明 #

execsnoop.bt的核心原理是通过kprobe追踪execve()系统调用的入口和返回事件，只有当进程真正调用execve()加载外部二进制程序时，才会被工具捕获。像shell内置命令、shell函数这类不需要启动新进程的操作，不会触发execve()，所以不在execsnoop的捕获范围内。

内容的提问来源于stack exchange，提问作者0123hoang