Puis-je surveiller un socket de domaine unix local comme tcpdump ?

Vous pouvez utiliser socat.

sudo mv /path/to/sock /path/to/sock.original
sudo socat -t100 -x -v UNIX-LISTEN:/path/to/sock,mode=777,reuseaddr,fork UNIX-CONNECT:/path/to/sock.original

Ce qui se passe au-dessus : Tout d'abord, déplacez le socket original vers sock.original. Socat crée une nouvelle socket ('UNIX-LISTEN') à l'emplacement de l'original et renvoie tout vers l'original ('UNIX-connect'). Le -v indique à socat d'imprimer également la sortie sur STDERR.

Vous pouvez également essayer d'utiliser strace sur l'un des processus de part et d'autre de la socket, car cela vous permettra d'observer ce qui est écrit/lu. J'ai constaté que dans mes environnements de production, je n'ai pas socat, mais j'ai strace.

Pour tout objectif utile, il est nécessaire de définir -s sur quelque chose de grand.

// backup the socket
sudo mv /var/run/docker.sock /var/run/docker.sock.original

// use tcp port 8089 proxy the original socket
sudo socat TCP-LISTEN:8089,reuseaddr,fork UNIX-CONNECT:/var/run/docker.sock.original

// use the new socket to proxy the 8089 port
sudo socat UNIX-LISTEN:/var/run/docker.sock,fork TCP-CONNECT:127.0.0.1:8089

alors :

sudo tcpdump -i lo -netvv port 8089

Un peu tard, mais j'ai modifié un script de systemtap qui fera cela pour les personnes qui ne peuvent pas transférer le trafic de socket d'un processus d'écoute. Utilisez-le à vos risques et périls, je ne l'ai testé que pour Red Hat Enterprise Linux 7 mais les structures que nous référençons sont génériques et (espérons-le) ne changent pas beaucoup :

/*
 * watch_unix_socket.stp
 *
 * This is a simply more modern version of the script found here:
 * https://sourceware.org/systemtap/wiki/WSunixSockets
 *
 * The first argument is the location of the file descriptor for a UNIX socket.
 * To find this address, for example, for the Docker socket run:
 *
 * # lsof 2>&1 | awk '/docker.sock/ {print $7}' | grep -v '0t0' | sort -u
 * 0xffff8ed0b4eb1800
 *
 * And use that address to run this systemtap script:
 * 
 * # stap watch_unix_socket.stp 0xffff8ed0b4eb1800
 */

probe begin {
    printf("Watching input into socket 0x%x...\n", $1);
}

probe kernel.function("unix_stream_sendmsg") {
    if ($sock->sk != $1) {
        printf("%d %s is accessing %p\n", pid(), execname(), $sock->sk);
        printf("====================\n");

        len = 0
        for (i = 0; i < $msg->msg_iovlen; i++) {
            len += $msg->msg_iov[i]->iov_len;
        }

        printf("%d [", len);
        for (i = 0; i < $msg->msg_iovlen; i++) {
            printf("%s", user_string_n($msg->msg_iov[i]->iov_base, $msg->msg_iov[i]->iov_len));
        }

        printf("] [");
        for (i = 0; i < $msg->msg_iovlen; i++) {
            printf("%s", user_string_n($msg->msg_iov[i]->iov_base, $msg->msg_iov[i]->iov_len));
        }

        printf("]\n\n");
    }
}

Je le tiens à jour en tant que Github Gist sur ma page .