Linux下如何拦截应用进程的所有系统调用，能否从用户空间实现？

你的需求有成熟的可行实现方案，不需要编写内核驱动，完全可以在用户空间完成开发，主流实现有两种可选：

方案1：ptrace 实现（兼容性最高） #

ptrace 是Linux原生提供的进程追踪系统调用，所有发行版默认支持，无额外依赖：

• 核心逻辑：调用ptrace(PTRACE_ATTACH, 目标PID, NULL, NULL)即可附着到任意运行中的用户态进程，不需要修改或重编译被监控程序，符合你对Chrome、Spotify等第三方进程的监控要求。被附着进程每次触发系统调用前后，内核都会向你的监控工具发送信号，你可以通过读取进程寄存器获取系统调用号、入参、返回值等信息。
• 需求适配：
  • 启动时解析命令行参数，若传入指定PID则直接附着对应进程，若传入all则遍历/proc目录下所有进程逐个附着即可
  • 可在用户态自行实现过滤逻辑：判断当前触发系统调用的进程是否在关注列表中，符合条件则记录PID、系统调用类型、参数等信息，否则直接放行
  • 程序可以做成常驻进程，监听SIGINT、SIGTERM等信号实现优雅停止
• 局限性：ptrace属于侵入式追踪，被监控进程的性能会有10%~30%左右的损耗，全量监控所有进程时开销会更高。

方案2：eBPF 实现（性能最优，推荐现代系统使用） #

基于Linux内核eBPF能力实现非侵入式追踪，性能损耗远低于ptrace，适合生产环境使用：

• 核心逻辑：用C编写eBPF追踪程序，编译为字节码后通过libbpf库加载到内核运行，内核态直接完成PID过滤，仅将符合要求的系统调用事件上报到用户态工具，避免不必要的用户态/内核态数据拷贝。
• 需求适配：
  • 完全非侵入，不需要附着到目标进程，对被监控进程的性能影响不到5%，全量监控全用户态进程也不会有明显性能开销
  • 原生支持获取系统调用的所有参数、PID、时间戳等信息，你可以自行定义存储格式供后续程序处理
• 局限性：要求内核版本>=4.15，需要内核开启CONFIG_BPF、CONFIG_KPROBES等配置，主流发行版（CentOS 8、Ubuntu 18.04及以后版本）均默认满足要求。

两种方案都需要root权限运行，均可以编译为纯命令行可执行文件，不需要任何GUI组件。

内容的提问来源于stack exchange，提问作者Sokolotov