我建议使用kprobes进行此类工作，如果需要，您可以使用内核模块轻松中断任何内核地址（或符号…）并更改执行路径，所有这些都在运行时进行。

Kprobes通过用中断（例如x86上的int3）动态替换一条指令（例如，系统调用条目的第一条指令）来工作。在do_int3处理程序内部，一个通知程序通知kprobes，后者又将执行传递给已注册的函数，从这一点上您几乎可以执行任何操作。

Documentation /
kprobes.txt中提供了一个非常好的文档，因此作为samples
/ kprobes /
kprobes_example.c中的一个小示例（在本示例中，它们在do_fork上中断以记录系统上的每个fork）。它具有非常简单的API，并且如今非常易于移植。

警告
：如果您需要更改执行路径，请确保您的kprobes没有经过优化（例如，处理程序的jmp指令代替了您中断的指令，而不是int3），否则您将无法真正轻松地更改执行（退出函数后，系统调用函数仍将照常执行）。如果您仅对跟踪感兴趣，那就很好，您可以放心地忽略此问题。