高效的Linux系统调用拦截：告别ptrace的低效

本文介绍了一种比ptrace更高效的Linux系统调用拦截方法：seccomp user notify。它利用BPF过滤器，仅对目标系统调用返回结果，显著降低性能开销。作者以其工具copycat为例，演示了如何拦截open()系统调用，实现文件替换，并详细解释了seccomp user notify的工作机制，包括BPF过滤器的编写和系统调用参数的处理。文章还讨论了安全性和一些潜在问题，例如TOCTOU攻击。