Despejo de núcleo sem bloqueio no Linux?

Estou procurando uma maneira de obter um coreedump não intrusivo de um processo em execução no Linux.

Eu estou familiarizado com o gdb's gcore, mas isso só pode ser executado quando gdbestá anexado ao processo e parado para depuração. Para um grande dump de núcleo, isso pode significar muitos segundos, ou até alguns minutos, de execução interrompida.

Existe alguma alternativa sem bloqueio?

Suportes Linux copiar-on-write memória, que se baseia na apoio fork()sem exec(). Então, estou pensando em algo no nível do kernel em que o kernel tira um instantâneo de cópia na gravação das tabelas da página do processo que está sendo despejado e, em seguida, grava o núcleo enquanto o processo original continua em execução.

Tenho certeza de que poderia usar gdbpara forçar um fork()despejo da criança enquanto o pai continua feliz, e depois wait()o pai colher o filho após o término. É uma bagunça, no entanto, e ainda requer duas interrupções do processo pai, ainda que curtas.

Certamente alguém já precisou disso antes?

linux dump gdb

— Craig Ringer
fonte

Lamento poder dar apenas um voto positivo para esta pergunta maravilhosa.

— peterh diz restabelecer Monica

Excelente pergunta e eu, por um lado, estou ansioso pela resposta. +1 de mim

— thanasisk

Que tal 1) anexar o processo com o gdb 2) deixá-lo bifurcado por um comando "call fork" 3) despejar o núcleo do processo filho 4) deixar o filho morto ser esperado pelo pai (outro "call wait4") 5 ) desanexar do processo 6) automatizar 1-5? O Gdb usa chamadas simples do sistema sys_ptrace (), poderia ser uma ferramenta C não muito complexa e totalmente independente do gdb.

— peterh diz restabelecer Monica

Em uma máquina virtual, você pode tirar uma captura instantânea e trazê-la como um clone para ser analisado. Talvez uma das ferramentas listadas aqui vai ajudá-lo: cyberciti.biz/programming/linux-memory-forensics-analysis-tools

— Giovanni Tirloni

Você pode evitar a segunda interrupção fazendo com que o processo filho também bifurque e saia. Em seguida, o processo pai pode esperar o filho imediatamente e continuar, enquanto o avô despeja o núcleo.

— precisa saber é o seguinte

O Google CoreDumper vem à mente. Faz uma cópia de cópia na gravação do espaço de endereço do processo, consulte WriteCoreDump () (consulte "Notas").

— EricM
fonte

Isso parece extremamente útil! Eu me pergunto qual é a técnica subjacente usada. Presumivelmente, ele segue o processo, mas a criação do instantâneo CoW sem bifurcação e de uma maneira que não afete a (s) pilha (s) seria um desafio. Vou ter que dar uma olhada no código. Ótima dica.

— Craig Ringer

Parece que está apenas em processo, infelizmente, e não pode ser invocado via gdb ou similar porque requer o ptrace. Portanto, é um pouco como a DLL debughelp no Windows, e não como um gcore sem bloqueio, mas ainda com uma aparência muito útil. Eu acho que seria possível usar através de um gancho LD_PRELOAD e configurar um manipulador de sinal com gdb, desconectar e sinalizar o processo, mas não parece que ele tenha sido realmente projetado para despejar programas não modificados e que tenha o problema compartilhado por qualquer ferramenta de despejo em processo que, se o processo estiver estragado o suficiente, o despejo não funcionará.

— Craig Ringer

Desculpe ... perdi o bit "não intrusivo" quando li a pergunta pela primeira vez.

— EricM