Solaris DTrace - История изменений

Sirmax: /* запуске setuid-программ */

2011-09-13T09:29:03Z

запуске setuid-программ

← Предыдущая		Версия 09:29, 13 сентября 2011
Строка 793:		Строка 793:
	setuid/setgid file /usr/bin/mail executed by uid 30079		setuid/setgid file /usr/bin/mail executed by uid 30079
	</PRE>		</PRE>
		+
		+
		+	==Дисковая Активность==
		+	Сегодня приведу полезный скрипт, показывающий, к каким файлам шли частые обращения за 10-ти секундный интервал. Скрипт работает непрерывно до его прерывания. Применение – можно увидеть, почему вдруг увеличилась нагрузка на систему из-за дисковой активности.
		+
		+	Скрипт:
		+	<PRE>
		+	$ cat 02_openfiles.d
		+	#!/usr/sbin/dtrace -s
		+
		+	io:::start
		+	{
		+	@[args[2]->fi_pathname] = count();
		+	}
		+
		+	tick-10s
		+	{
		+	trunc(@, 10);
		+	printa(@);
		+	trunc(@, 0);
		+	}
		+	</PRE>
		+	Выставить права на запуск:
		+	<PRE>
		+	$ chmod +x 02_openfiles.d
		+	</PRE>
		+	Запуск:
		+	<PRE>
		+	$ sudo ./02_openfiles.d
		+	</PRE>
		+
		+	Второй вариант запуска – в одну строку:
		+	<PRE>
		+	$ sudo dtrace -n 'io:::start {@[args[2]->fi_pathname] = count();} tick-10s {trunc(@, 10); printa(@); trunc(@, 0);}'
		+	</PRE>
		+	Пример работы:
		+	<PRE>
		+	0 129269 :tick-10s
		+	??/Logs/FileSyncAgent.log 1
		+	??/Russian.lproj/Dictionary.dat 1
		+	??/DiagnosticMessages/StoreData 3
		+	??/DiagnosticMessages/2010.11.30.asl 6
		+	??/com.apple.Safari/Cache.db-journal 8
		+	??/com.apple.Safari/Cache.db 51
		+
		+	0 129269 :tick-10s
		+	??/bands/114 1
		+	??/bands/ef 2
		+	??/Cookies/Cookies.plist_tmp_67927_0.dat 3
		+	??/bands/115 3
		+	??/bands/a0 3
		+	??/bands/0 4
		+	??/bands/59 5
		+	??/com.apple.Safari/Cache.db-journal 6
		+	??/com.apple.Safari/Cache.db 12
		+	??/unknown (NULL v_parent)/unknown (NULL v_name) 16
		+	</PRE>
		+	По этим примерам можно сказать, что Safari активно пишет в кеш, и система синхронизирует iDisk.
		+
		+	Почему iDisk? /bands/114 указывает на Sparse Bundle Image, Time Machine вне подозрения (TimeCapsule далеко), а поиск find’ом показал каталог ctrld_iDisk.sparsebundle:
		+
		+	<PRE>
		+	$ sudo find / -name 114
		+	/Users/ctrld/Library/FileSync/0025bcdcddae/ctrld_iDisk.sparsebundle/bands/114
		+	</PRE>
		+
		+	Указанный пример очень прост, есть гораздо более впечатляющие примеры. Хотите узнать больше? Смотрите OpenSolaris Community Group dtrace.

Sirmax: /* запуске setuid-программ */

2011-09-13T09:21:32Z

запуске setuid-программ

← Предыдущая		Версия 09:21, 13 сентября 2011
Строка 784:		Строка 784:


		+	<PRE>
−
	# ./group.d 14		# ./group.d 14

Строка 792:		Строка 792:

	setuid/setgid file /usr/bin/mail executed by uid 30079		setuid/setgid file /usr/bin/mail executed by uid 30079
		+	</PRE>

Sirmax: /* Еще Примеры */

2011-09-13T09:21:07Z

Еще Примеры

← Предыдущая		Версия 09:21, 13 сентября 2011
Строка 680:		Строка 680:
	DTrace: следим за размером файла и не даем прочитать /etc/passwd		DTrace: следим за размером файла и не даем прочитать /etc/passwd
	Джон Хэслэм с sunblogs предлагает тройку D-скриптов, которые могут быть полезны в практике. Первый позволяет следить за размером файла (файл должен лежать в ufs-партиции) - наверняка у многих возникала подобная задача, DTrace справляется с этим блестяще:		Джон Хэслэм с sunblogs предлагает тройку D-скриптов, которые могут быть полезны в практике. Первый позволяет следить за размером файла (файл должен лежать в ufs-партиции) - наверняка у многих возникала подобная задача, DTrace справляется с этим блестяще:
		+	===следим за размером файла===
	<PRE>		<PRE>
	#!/usr/sbin/dtrace -s		#!/usr/sbin/dtrace -s

Sirmax: /* Еще Примеры */

2011-09-13T09:20:48Z

Еще Примеры

← Предыдущая		Версия 09:20, 13 сентября 2011
Строка 716:		Строка 716:
	}		}

		+	</PRE>
		+
		⚫	Тестируем:
	<PRE>		<PRE>
⚫	Тестируем:
−
−
	# ./file.d /var/tmp/bigfile		# ./file.d /var/tmp/bigfile
	File /var/tmp/bigfile changed size: size = 132120576		File /var/tmp/bigfile changed size: size = 132120576
Строка 725:		Строка 725:
	File /var/tmp/bigfile changed size: size = 134217728		File /var/tmp/bigfile changed size: size = 134217728
	File /var/tmp/bigfile changed size: size = 134712950		File /var/tmp/bigfile changed size: size = 134712950
		+	</PRE>


		+	===следить за обращениями к заданному файлу===
−
−
	Второй маленький скрипт позволяет следить за обращениями к заданному файлу (пусть это будет /etc/passwd), сообщает uid и пресекает попытки:		Второй маленький скрипт позволяет следить за обращениями к заданному файлу (пусть это будет /etc/passwd), сообщает uid и пресекает попытки:
		+	<PRE>
−
	#!/usr/sbin/dtrace -ws		#!/usr/sbin/dtrace -ws

Строка 739:		Строка 739:
	raise(SIGKILL);		raise(SIGKILL);
	}		}
		+	</PRE>
−
	Запускаем в одном терминале скрипт, в другом пытаемся прочесть файл паролей:		Запускаем в одном терминале скрипт, в другом пытаемся прочесть файл паролей:

		+	<PRE>
−
	$ more /etc/passwd		$ more /etc/passwd
		+	</PRE>
−

	Скрипт выводит инфо и убивает процесс more:		Скрипт выводит инфо и убивает процесс more:

		+	<PRE>
−
−
	dtrace# ./read.d /etc/passwd: script './read.d' matched 1 probe		dtrace# ./read.d /etc/passwd: script './read.d' matched 1 probe
−
	dtrace: allowing destructive actions		dtrace: allowing destructive actions
−
	CPU ID FUNCTION:NAME		CPU ID FUNCTION:NAME
−
	0 15625 ufs_read:entry File /etc/passwd read by 100		0 15625 ufs_read:entry File /etc/passwd read by 100
		+	</PRE>


		+	===запуске setuid-программ===
−
−
	Третий скрипт сообщает о запуске setuid-программ пользователем:		Третий скрипт сообщает о запуске setuid-программ пользователем:

Sirmax: /* Еще Примеры */

2011-09-13T09:18:17Z

Еще Примеры

← Предыдущая		Версия 09:18, 13 сентября 2011
Строка 678:		Строка 678:

	==Еще Примеры==		==Еще Примеры==
		+	DTrace: следим за размером файла и не даем прочитать /etc/passwd
		+	Джон Хэслэм с sunblogs предлагает тройку D-скриптов, которые могут быть полезны в практике. Первый позволяет следить за размером файла (файл должен лежать в ufs-партиции) - наверняка у многих возникала подобная задача, DTrace справляется с этим блестяще:
		+	<PRE>
		+	#!/usr/sbin/dtrace -s
		+
		+	#pragma D option quiet
		+
		+	BEGIN
		+	{
		+	size = 0;
		+	}
		+
		+	/* wrip does the real work for a ufs write. The first argument is a struct inode* so
		+	we can extract everything we need (vnode, size) from this */
		+	fbt::wrip:entry
		+	/(self->file = stringof(args[0]->i_vnode->v_path)) == $$1 /
		+	{
		+	self->inode = args[0];
		+	}
		+
		+	/* If the file in question has changed size tell us */
		+	fbt::wrip:return
		+	/self->inode && size != self->inode->i_ic.ic_lsize/
		+	{
		+	printf("File %s changed size: size = %d\n",
		+	self->file, self->inode->i_ic.ic_lsize);
		+	size = self->inode->i_ic.ic_lsize;
		+	self->inode = 0;
		+	self->file = 0;
		+	}
		+
		+	fbt::wrip:return
		+	/self->inode && size == self->inode->i_ic.ic_lsize/
		+	{
		+	self->inode = 0;
		+	self->file = 0;
		+	}
		+
		+	<PRE>
		+	Тестируем:
		+
		+
		+	# ./file.d /var/tmp/bigfile
		+	File /var/tmp/bigfile changed size: size = 132120576
		+	File /var/tmp/bigfile changed size: size = 133169152
		+	File /var/tmp/bigfile changed size: size = 134217728
		+	File /var/tmp/bigfile changed size: size = 134712950
		+
		+
		+
		+
		+	Второй маленький скрипт позволяет следить за обращениями к заданному файлу (пусть это будет /etc/passwd), сообщает uid и пресекает попытки:
		+
		+	#!/usr/sbin/dtrace -ws
		+
		+	ufs_read:entry
		+	/ stringof(args[0]->v_path) == $$1 /
		+	{
		+	printf("File %s read by %d\n", $$1, curpsinfo->pr_uid);
		+	raise(SIGKILL);
		+	}
		+
		+	Запускаем в одном терминале скрипт, в другом пытаемся прочесть файл паролей:
		+
		+
		+	$ more /etc/passwd
		+
		+
		+	Скрипт выводит инфо и убивает процесс more:
		+
		+
		+
		+	dtrace# ./read.d /etc/passwd: script './read.d' matched 1 probe
		+
		+	dtrace: allowing destructive actions
		+
		+	CPU ID FUNCTION:NAME
		+
		+	0 15625 ufs_read:entry File /etc/passwd read by 100
		+
		+
		+
		+
		+	Третий скрипт сообщает о запуске setuid-программ пользователем:
		+
		+	<PRE>
		+	#!/usr/sbin/dtrace -s
		+
		+	#pragma D option quiet
		+
		+	inline int PRIV_SETUGID = 0x04;
		+
		+	execsetid:entry
		+	{
		+	self->file = stringof(args[0]->v_path);
		+	}
		+
		+	execsetid:return
		+	/ (self->file != NULL) && (args[1] & PRIV_SETUGID) &&
		+	(curpsinfo->pr_gid != $1 \|\| curpsinfo->pr_egid != $1) /
		+	{
		+	printf("setuid/setgid file %s executed by uid %d\n", self->file,
		+	curpsinfo->pr_uid);
		+	self->file = 0;
		+	}
		+	</PRE>
		+	Также запускаем скрипт в одном окне, а в другом - различные программы:
		+
		+
		+
		+	# ./group.d 14
		+
		+	setuid/setgid file /usr/bin/su executed by uid 100
		+
		+	setuid/setgid file /usr/sbin/../lib/fs/ufs/quota executed by uid 30079
		+
		+	setuid/setgid file /usr/bin/mail executed by uid 30079

Sirmax: /* Примеры */

2011-09-13T09:17:15Z

Примеры

← Предыдущая		Версия 09:17, 13 сентября 2011
Строка 675:		Строка 675:

	</PRE>		</PRE>
		+
		+
		+	==Еще Примеры==

Sirmax: /* DTrace */

2011-04-06T08:58:20Z

DTrace

← Предыдущая		Версия 08:58, 6 апреля 2011
Строка 5:		Строка 5:
	(дополненный текст отсюда: http://experience.openquality.ru/dtrace-use-cases/)		(дополненный текст отсюда: http://experience.openquality.ru/dtrace-use-cases/)
	Подробная дока:<BR>http://wikis.sun.com/display/DTrace/Documentation		Подробная дока:<BR>http://wikis.sun.com/display/DTrace/Documentation
		+	* http://hub.opensolaris.org/bin/view/Community+Group+dtrace/WebHome [+]
−	* http://habrahabr.ru/blogs/java/112676/

	==Коротко о DTRACE==		==Коротко о DTRACE==

Sirmax: /* DTrace */

2011-04-06T08:56:45Z

DTrace

← Предыдущая		Версия 08:56, 6 апреля 2011
Строка 5:		Строка 5:
	(дополненный текст отсюда: http://experience.openquality.ru/dtrace-use-cases/)		(дополненный текст отсюда: http://experience.openquality.ru/dtrace-use-cases/)
	Подробная дока:<BR>http://wikis.sun.com/display/DTrace/Documentation		Подробная дока:<BR>http://wikis.sun.com/display/DTrace/Documentation
		+	* http://habrahabr.ru/blogs/java/112676/

	==Коротко о DTRACE==		==Коротко о DTRACE==

Sirmax: /* Короткая подсказка */

2011-03-30T07:45:20Z

Короткая подсказка

← Предыдущая		Версия 07:45, 30 марта 2011
Строка 19:		Строка 19:
	==Короткая подсказка==		==Короткая подсказка==
	Все пояснения - ниже, это просто короткая подсказка наиболее употребимых конструкций.		Все пояснения - ниже, это просто короткая подсказка наиболее употребимых конструкций.
		+	Список всех проб (очень удобно)
		⚫	{{Root\|<nowiki>dtrace -l \| grep foo keyword search</nowiki>}}

		⚫	dtrace -n 'fbt:::entry { @[probefunc] = count(); }' -c 'ping host' frequency count
		⚫	grep foo /opt/DTT/Bin/* DTraceToolkit Probe Arguments
		⚫	syscall::: man syscallname fbt::: Kernel source

⚫	{{Root\|<nowiki>dtrace -l \| grep foo keyword search</nowiki>}}
⚫	dtrace -n 'fbt:::entry { @[probefunc] = count(); }' -c 'ping host'
−	frequency count
⚫	grep foo /opt/DTT/Bin/* DTraceToolkit
−	Probe Arguments
⚫	syscall::: man syscallname
−	fbt::: Kernel source
	Probes		Probes
	BEGIN program start		BEGIN program start

Sirmax: /* Короткая подсказка */

2011-03-30T07:44:06Z

Короткая подсказка

← Предыдущая		Версия 07:44, 30 марта 2011
Строка 21:		Строка 21:


−	{{Root\|dtrace -l \| grep foo keyword search}}	+	{{Root\|<nowiki>dtrace -l \| grep foo keyword search</nowiki>}}
	dtrace -n 'fbt:::entry { @[probefunc] = count(); }' -c 'ping host'		dtrace -n 'fbt:::entry { @[probefunc] = count(); }' -c 'ping host'
	frequency count		frequency count