Подскажите красивый способ перехватить все сисколы пр помощи kprobe?

Может быть лучше использовать его через ftrace https://www.kernel.org/doc/Documentation/trace/kprobetrace.txt Какую задачу ты решаешь?

Да - лучше, но вопрос тот же - можно ли как-то избежать цикла по всем сисколам при перехвате?

погугли на тему ptrace. там просто сделан перехват сисколов.

kprobe немного про другое, и он тебе перехватит все сисколы вообще. с соответствующими тормозами.

какой нахер цикл? ptrace перехватывает все 1-в-1. на нём usermode-linux работает если что.

Для меня не актуален ptrace(). От слова совсем.

и он тебе перехватит все сисколы вообще.

У тебя есть пример? У меня пока что проблемы прехватить все сисколы вообще. Но я могу без проблем перехватить любое заданное подмножество без проблем. B как ни странно никаких тормозов ;-)

Прям сейчас я играюсь на четверке open/read/write/close

кол тебе в жопу %)

Посмотри как sysdig работает

Кстати - да

Подгружают модуль в ядро а дальше используют трейспоинты для перехвата и кольцевые буфера для стрима в юзерспейс.