主页 / unix / 问题 / 481799
Accepted
Matthijs Steen
Asked: 2018-11-15 13:15:56 +0800 CST

如何防止进程写入 systemd 日志？

  • 772

我正在使用第三方 .NET Core 应用程序（VS Code 扩展使用的二进制发行版），不幸的是，它启用了诊断日志记录，但没有明显的方法来禁用它（我已经向作者报告了这一点）。理想的解决方案（除了能够禁用它）是，如果我可以向 systemd 指定它不应该为该特定程序记录任何内容，但我一直无法找到任何方法来做到这一点。这是我到目前为止尝试的所有内容：

我尝试的第一件事是重定向stdout到: 。这确实禁用了任何正常输出，但诊断日志仍被写入 systemd 日志。stderr/dev/nulldotnet-app > /dev/null 2>&1

我希望应用程序有一个命令行参数，允许我禁用诊断日志记录。它确实有一个冗长的参数，但经过试验，它似乎只对正常输出产生影响，而不是诊断日志记录。

通过使用strace并查找对 的调用connect，我发现应用程序将诊断日志直接写入/dev/log.

该路径/dev/log是指向的符号链接/run/systemd/journal/dev-log，因此为了验证我的发现，我将符号链接更改为指向/dev/null。这确实阻止了诊断日志显示在 systemd 日志中。

我被告知LD_PRELOAD并制作了一个库，connect用我自己的版本替换了标准，在尝试连接到/dev/log. 这在我的测试程序中正常工作，但在 .NET Core 应用程序中失败，在 .NET Core 应用程序中失败connect ENOENT /tmp/CoreFxPipe_1ddf2df2725f40a68990c92cb4d1ff1e。我尝试了我的库，但即使我所做的只是直接将参数传递给标准connect函数，它仍然会失败并出现同样的错误。

然后我尝试使用 Linux 命名空间来制作它，以便仅/dev/log指向/dev/null.NET Core 应用程序：unshare --map-root-user --mount sh -c "mount --bind /dev/null /dev/log; dotnet-app $@". 这也因同样的错误而失败，即使它再次适用于我的测试程序。即使只是使用unshare --map-root-user --mount dotnet-app "$@"也会因错误而失败。

接下来，我尝试在应用程序运行时gdb关闭文件描述符。/dev/log这有效，但经过一段时间后它会重新打开它。我还尝试将文件描述符更改为指向，这也有效，但一段时间后/dev/null它也被重置为。/dev/log

我最后一次尝试是编写自己的 UNIX 套接字，它会过滤掉所有由 .NET Core 应用程序写入的内容。这确实有效，但我了解到 PID 与写入 UNIX 套接字的内容一起发送，因此传递给 systemd 日志的所有内容都会报告来自支持我的 UNIX 套接字的程序的 PID。

现在这个解决方案对我来说是可以接受的，因为在我的系统上几乎没有使用/dev/log，但我欢迎更好的解决方案。例如，我读到有可能将某些东西欺骗为 UNIX 套接字的 root，但我无法找到更多相关信息。

或者，如果有人可能对为什么两者都有任何见解，LD_PRELOAD并且unshare.NET Core 应用程序可能会失败，而他们对于写入的简单 C 测试程序工作正常/dev/log？

gdb systemd-journald

1 个回答

  1. Best Answer

    简而言之，通过LD_PRELOAD覆盖syslog(3)而不是 connect(3) 加载您的库。

    Unix 套接字由 syslog(3) glibc 函数使用，该/dev/log函数连接到它并写入它。覆盖 connect(3) 可能不起作用，因为 glibc 中的 syslog(3) 实现将执行 connect(2)系统调用而不是库函数，因此LD_PRELOAD挂钩不会捕获来自 syslog(3) 中的调用。

    之间有一个断开连接strace，它显示系统调用，和LD_PRELOAD，它可以覆盖库函数（在这种情况下，来自 glibc 的函数。）有一个connect(3) glibc 函数和一个connect(2)系统调用的事实也有助于这种混乱。（使用ltrace这里可能会有所帮助，而是显示对 syslog(3) 的调用。）

    您可能可以LD_PRELOAD通过让您的测试程序直接调用 syslog(3) 而不是显式连接到，来确认您正在执行的覆盖 connect(3) 不适用于 syslog(3) /dev/log，我怀疑这是 .NET 的方式核心应用程序正在运行。

    挂钩到 syslog(3) 也可能更有用，因为在堆栈中处于更高级别，您可以使用该挂钩做出决策，例如选择性地将一些消息转发到 syslog。（您可以使用 加载 glibc 中的 syslog 函数dlsym(RTLD_NEXT, "syslog")，然后您可以使用该函数指针调用 syslog(3) 来获取您想要从您的钩子转发的消息。）

    /dev/log用符号链接替换的方法/dev/null是有缺陷的，它/dev/null不接受 connect(2) 操作（仅文件操作，如 open(2)），因此 syslog(3) 将尝试连接并获取错误并以某种方式尝试处理它（或者可能将它返回给调用者），无论如何，这可能会产生副作用。

    希望LD_PRELOAD在这里您只需要使用 syslog(3) 的覆盖。

    • 2

相关问题