Как разбирать strace в оболочке в обычный текст?

У меня есть журнал трассировки, созданный strace, например, при запуске PHP:

Похоже, что они представлены обычными C escape-кодами.

Я попытался их декодировать в оболочке printf следующим образом:

но он потерпел неудачу (похоже, что это не имеет никакого смысла):

Есть ли лучший способ проанализировать вывод команды strace, чтобы увидеть простые строки, переданные в recvfrom/sendto?

В идеале можно печатать печатные символы, включая новые строки (\r\n), но обрезанные NULL и другие непечатаемые символы?

Ответы

Ответ 1

Проблема, почему read не работает, поскольку оболочка уже ускользает от символов, поэтому строка удваивается экранированной, поэтому \r\n печатается как rn.

Чтобы игнорировать экранирование символов оболочкой, вы можете использовать read -r, которые позволяют обратным следам избегать любых символов (поэтому они обрабатываются буквально). Вот пример:

while read -r line; do printf "%b\n" "$line"; done < strace.log | strings

Поскольку это двоичные данные, приведенный выше пример также включает команду strings для отображения только печатаемых строк.

Strace также поддерживает печать всех строк в шестнадцатеричном формате, если указан -x, но он будет работать одинаково.

Вот версия для синтаксического анализа strace вывода в режиме реального времени:

while read -r line;
    do printf "%b\n" "$line" | strings
done < <(sudo strace -e recvfrom,sendto -s 1000 -fp $(pgrep -n php) 2>/dev/stdout)

Далее strings можно заменить более конкретным фильтром с помощью grep, чтобы получить только то, что находится внутри двойных кавычек:

grep -o '".\+[^"]"' | grep -o '[^"]\+[^"]'

однако это может все еще печатать двоичные форматы.

Чтобы этого избежать, упростите весь процесс, поэтому давайте определим следующий псевдоним форматирования:

alias format-strace='grep --line-buffered -o '\''".\+[^"]"'\'' | grep --line-buffered -o '\''[^"]*[^"]'\'' | while read -r line; do printf "%b" $line; done | tr "\r\n" "\275\276" | tr -d "[:cntrl:]" | tr "\275\276" "\r\n"'

где:

grep -o '".\+[^"]"' - выберите строку с двумя кавычками с кавычками
grep -o '[^"]*[^"]' - выберите текст в двойных кавычках
while read -r line - сохранить каждую строку в $line и do некоторое действие (help read)
printf "%b" $line - печать строки путем расширения escape-последовательностей обратной косой черты
tr "\r\n" "\275\276" - временно заменить \r\n на \275\276
tr -d "[:cntrl:]" - удалить все управляющие символы
tr "\275\276" "\r\n" - восстановить окончание строки

то полный пример для отслеживания некоторой команды (например, php) может выглядеть так:

strace -e trace=read,write,recvfrom,sendto -s 1000 -fp $(pgrep -n php) 2>&1 | format-strace

Проверьте аналогичный пример: Как просмотреть вывод выполняющегося процесса в другом сеансе bash в Unix.SE