bpftrace で実行されたコマンドの親プロセスを特定する

• 概要
• 環境
• コマンド
• 最後に

概要

例えば内部で curl を実行している親プロセスを特定する場合を紹介します

環境

• Ubuntu 24.04
• bpftrace 0.20.2

コマンド

sudo bpftrace -e '
tracepoint:syscalls:sys_enter_execve
/str(args->filename) == "/usr/bin/curl"/
{
    printf("curl executed! pid=%d comm=%s filename=%s\n",
        pid, comm, str(args->filename));
}
'

最後に

なぞのエージェントやサービスをインストールすると意図しないコマンドなどを実行することがあるので親プロセスを特定して問題ないことを確認しましょう