c - 如何持续监控 Linux 中的进程创建？

Question

我的进程启动了一个进程——在这个例子中让它成为一个 shell，但它实际上适用于任何进程。我需要在 shell 创建新进程时收到通知并获取它们的 PID。

我可以在任何给定时间拍摄整个进程树的快照(好吧，pstree 可以)，但是我如何监控具有给定 PID 的进程创建新进程？

到目前为止，我在 How to monitor an external process for events by its PID in C? 找到了几种方法这些都没有真正解决我的问题:

1. 监控 NetLink proc 接口(interface)。 问题:需要我没有的 root 权限。
2. 自定义库覆盖由 LD_PRELOAD 加载到 shell 进程中的系统调用。 问题:它也会被 shell 的子级继承，我不希望这样 - 我只想监视 shell。
3. ptrace()shell。 问题: 通知父进程(即我的进程)有关创建新进程的标志，即 PTRACE_O_TRACEFORK、PTRACE_O_TRACEVFORK 和 PTRACE_O_TRACECLONE 将 ptrace() 传播到子进程，我只想监视 shell。
4. 让外壳合作。 问题:在 BASH 命令回调中(如在 undistract-me 中使用的)非常 hacky。我还希望避免特定于 shell 的代码。

我觉得我在这里缺少一些简单的东西。我觉得我可以使上述解决方案之一与 more hacks 一起工作，但是......当然我不必诉诸像 LD_PRELOAD 和 ptrace() 这样一个简单的任务，对吗？

仅供引用，我正在用 Vala 编写代码，但也欢迎使用 C 代码片段。

Answer 1

到目前为止还没有找到通用的解决方案，所以我不得不求助于让 shell 合作:

• ZSH 有 pre-exec 钩子(Hook)记录在 http://zsh.sourceforge.net/Doc/Release/Functions.html
• KSH 有一个http://www.manpagez.com/man/1/ksh/ 中记录的调试 Hook
• 将预执行程序添加到 BASH 的 hack 可以在 https://github.com/jml/undistract-me

我只是根据shell将回调命令写入相关的环境变量。