copy_from_user调用失败却返回预期拷贝字节数的原因及kprobes/kretprobes挂钩getdents64的技术求助

各位好，我正在做一个学校项目，需要用kprobes/kretprobes来挂钩内核函数，现在遇到了两个棘手的问题，想请大家帮忙解答：

• 我参考了一份rootkit相关的指南来规划项目实现，尝试了好几种方案，大多是基于kretprobes来挂钩getdents64的，但现在完全卡壳了。我的目标是挂钩这个函数后，检查返回的文件名列表里是否包含指定的文件名，可试了各种方法都没成功。
• 另外还碰到一个奇怪的情况：明明copy_from_user调用失败了，但它却返回了我预期的拷贝字节数，这让我完全搞不懂哪里出了问题，也没法继续往下排查。

有没有大佬能给我指点下方向？比如挂钩getdents64的正确思路，或者copy_from_user这种异常返回的排查方法？

备注：内容来源于stack exchange，提问作者seegz0n