flutter学习---下拉筛选组建

weixin_33698823

3585人浏览 · 2019-02-25 09:35:22

weixin_33698823 · 2019-02-25 09:35:22 发布

1. 项目概述：为什么在LAMP服务器上用sysdig审计网络流量不是“炫技”，而是刚需

你刚上线一个基于CentOS 7的LAMP环境——Apache跑着PHP应用，MySQL存着用户订单，整个系统稳稳当当地跑在物理机或VMware Workstation Pro里。某天凌晨三点，监控告警：数据库连接数突然飙到280+，CPU持续92%，但 top 里没看到明显异常进程；再查 netstat -antp | grep :3306 ，发现十几个来自内网192.168.10.0/24段的陌生IP在疯狂重连MySQL。你第一反应是“被扫端口了？还是内部服务调用出问题？”——但 tcpdump 抓包后满屏SYN-ACK重传， iftop 只显示流量总量，却说不清“哪个PHP脚本、哪个Apache子进程、哪个MySQL线程在和谁通信、传了什么数据”。这时候，你真正需要的不是又一个流量计数器，而是一台能穿透进程层、文件层、网络层的“数字显微镜”。sysdig正是这台显微镜——它不只告诉你“有流量”，更精准定位到“是 /var/www/html/api/v2/order.php 第47行调用 mysqli_connect() 时，由Apache worker进程PID 12892发起，向192.168.10.5:3306发送了含 SELECT * FROM orders WHERE status='pending' 的SQL请求”。这种粒度的审计能力，在CentOS 7的LAMP栈中不是锦上添花，而是故障定位、安全排查、合规审计的硬性门槛。尤其当你按最新运维规范为自建用户和root设置密码复杂度（最小长度8位、4类字符、同一类连续字符≤2），却仍需确保网络行为本身可追溯时，sysdig提供的上下文关联能力——把网络包和具体PHP进程、Apache配置文件、MySQL socket路径全部串起来——就成了不可替代的基础设施级工具。它解决的不是“能不能看流量”的问题，而是“能不能一眼锁定问题根源”的问题。

2. 核心设计思路：为什么sysdig比tcpdump + strace组合更适配LAMP场景

2.1 传统方案的三大断层，让LAMP运维陷入“盲人摸象”

很多老手习惯用 tcpdump 抓包 + strace -p PID 跟踪进程系统调用，再手动比对时间戳和socket fd。但在真实LAMP环境中，这套组合拳存在三处致命断层：

第一层断层：进程与流量的时间错位
Apache采用prefork或worker多进程模型，一个HTTP请求可能由不同PID的子进程处理；PHP脚本执行完即释放进程， strace 必须提前attach，否则错过关键调用。我曾遇到一个支付回调接口超时问题： tcpdump 显示客户端在14:22:03.128发来POST，但 strace 在14:22:03.130才attach到PID 15672，结果发现该进程已在处理另一个静态资源请求——真正的支付逻辑其实在PID 15671中执行，而它已在14:22:03.129结束。这种毫秒级的时间窗口错配，在高并发LAMP环境下几乎必然发生。

第二层断层：网络与文件的语义割裂
tcpdump 只能看到原始TCP流，无法识别HTTP头、MySQL协议握手、PHP session文件读写。比如一个页面加载慢， tcpdump 显示大量 [ACK] 包，但你不知道是Apache在读取 /var/www/html/config.php 时卡住，还是PHP在 fopen('/tmp/cache.dat') 时阻塞。 strace 能看到 open() 系统调用，却看不到该文件操作是否触发了后续的DNS查询或数据库连接——这两者在LAMP中常因 /etc/resolv.conf 配置错误或MySQL主从延迟而连锁失效。

第三层断层：权限与上下文的隔离墙
CentOS 7默认启用SELinux，Apache进程运行在 httpd_t 域，MySQL在 mysqld_t 域。 strace 需root权限且会干扰进程状态，而普通运维人员往往只有sudo执行特定命令的权限。更麻烦的是， tcpdump 捕获的包属于网络层，无法关联到SELinux上下文标签（如 system_u:object_r:httpd_log_t:s0 ），导致安全审计时无法回答“这个异常连接是否违反了当前SELinux策略”。

2.2 sysdig的架构级突破：一次捕获，四维关联

sysdig通过内核模块 sysdig-probe 直接拦截系统调用事件，构建了四个维度的实时关联引擎：

进程维度 ：精确记录每个系统调用所属的进程名、PID、PPID、用户UID/GID、命令行参数（如 /usr/bin/php /var/www/html/api/login.php --user=admin ）；
网络维度 ：解析TCP/UDP协议，自动识别HTTP方法、URL路径、MySQL查询语句、DNS查询域名，并标注源/目的IP端口、连接状态（SYN_SENT、ESTABLISHED）、重传次数；
文件维度 ：追踪 open() 、 read() 、 write() 等调用，关联文件路径、inode号、访问模式（O_RDONLY/O_WRONLY），并支持过滤特定目录（如只看 /var/www/ 下的操作）；
系统维度 ：捕获 execve() 、 fork() 、 chdir() 等关键调用，还原进程生命周期，甚至能检测到 setuid 提权行为。

这种设计让sysdig在LAMP审计中天然具备“上帝视角”。例如，当执行 sysdig -A -c echo_fds proc.name=php 时，输出不是冰冷的十六进制数据，而是：

Events: 124
# 14:22:03.128123456 15671 (php) > openat(AT_FDCWD, "/var/www/html/config.php", O_RDONLY) 
# 14:22:03.128123789 15671 (php) < openat(3</var/www/html/config.php>) 
# 14:22:03.128124012 15671 (php) > read(3</var/www/html/config.php>, "DB_HOST=localhost...", 8192) 
# 14:22:03.128124345 15671 (php) < read(3</var/www/html/config.php>, "DB_HOST=localhost...", 8192) 
# 14:22:03.128124678 15671 (php) > connect(4<ipv4>, 127.0.0.1:3306, 16) 
# 14:22:03.128124901 15671 (php) < connect(4<ipv4>, 127.0.0.1:3306, 16) 
# 14:22:03.128125234 15671 (php) > write(4<ipv4>, "\x00\x00\x00\x01\x85\xa6\xfe...", 32) 
# 14:22:03.128125567 15671 (php) < write(4<ipv4>, "\x00\x00\x00\x01\x85\xa6\xfe...", 32)

注意最后一行： write(4<ipv4>, ...) 中的 4<ipv4> 明确标识这是IPv4 socket，且fd=4继承自前面的 connect() 调用。而 sysdig -A -c httplog 则直接解码为：

Method: POST URL: /api/v2/login.php Host: api.example.com User-Agent: curl/7.29.0 
Body: username=admin&password=12345678

这种将网络流量、进程行为、文件操作、系统调用熔铸为一条时间线的能力，正是sysdig在CentOS 7 LAMP环境中不可替代的核心价值。

2.3 为什么不是eBPF或BCC？CentOS 7的现实约束决定技术选型

有人会问：现在eBPF这么火，为什么不直接用BCC工具集？答案很现实——CentOS 7的内核版本（3.10.0-1160.el7.x86_64）对eBPF的支持极其有限。官方文档明确指出：eBPF程序需内核4.1+才能稳定运行，而CentOS 7.9的默认内核仅支持基础bpf()系统调用，无法加载复杂的maps和helpers。我实测过在CentOS 7.9上编译bcc-tools 0.16.0， /usr/share/bcc/tools/tcpconnect 会报错 Operation not supported ，因为缺少 bpf_map_lookup_elem 等helper函数。相比之下，sysdig的内核模块 sysdig-probe 专为RHEL/CentOS 7内核优化，编译时自动适配3.10系列的kprobe接口，安装后 modinfo sysdig-probe 显示 vermagic: 3.10.0-1160.el7.x86_64 SMP mod_unload ，完全匹配。更重要的是，sysdig提供预编译的RPM包（ sysdig-0.29.1-1.el7.x86_64.rpm ）， yum localinstall 即可完成部署，无需手动编译内核模块——这对在VMware Workstation Pro中安装CentOS 7 Minimal的运维人员至关重要，因为Minimal版默认不装 kernel-devel 和 gcc ，而编译eBPF工具链至少需要2GB磁盘空间和30分钟编译时间。sysdig用“开箱即用”换来了在CentOS 7生态中的绝对统治力。

3. 实操全流程：从VMware虚拟机安装到LAMP流量审计的完整闭环

3.1 VMware Workstation Pro中安装CentOS 7 Minimal的避坑指南

在VMware中部署CentOS 7 Minimal是很多人的第一步，但默认配置会埋下sysdig运行的隐患。我踩过的坑和解决方案如下：

坑1：VMware Tools未启用导致sysdig内核模块编译失败
Minimal安装后，VMware Tools（现称Open VM Tools）默认未安装， /proc/vmware 目录不存在， sysdig-probe 在加载时会因无法获取虚拟化信息而报错 No such device 。解决方案：

# 安装Open VM Tools核心组件（Minimal版需手动指定）
sudo yum install -y open-vm-tools open-vm-tools-devel

# 启用服务并重启
sudo systemctl enable vmtoolsd
sudo systemctl start vmtoolsd

# 验证：应看到/dev/vmci设备
ls -l /dev/vm*  # 输出：crw------- 1 root root 10, 63 Apr 10 14:22 /dev/vmci

坑2：SELinux阻止sysdig访问内核符号表
CentOS 7 Minimal默认启用SELinux enforcing模式， sysdig 启动时提示 Permission denied ，日志显示 avc: denied { module_request } for pid=1234 comm="sysdig" kmod="sysdig-probe" 。这是因为SELinux策略禁止用户空间程序动态加载内核模块。临时方案是 setenforce 0 ，但生产环境必须用永久方案：

# 创建自定义SELinux模块（需先安装checkpolicy和selinux-policy-devel）
sudo yum install -y checkpolicy selinux-policy-devel

# 生成允许sysdig加载模块的策略
echo "module sysdig_load 1.0;
require {
    type unconfined_t;
    class system module_request;
}
allow unconfined_t self:system module_request;" > sysdig_load.te

# 编译并安装
checkmodule -M -m -o sysdig_load.mod sysdig_load.te
semodule_package -o sysdig_load.pp sysdig_load.mod
sudo semodule -i sysdig_load.pp

坑3：Minimal版缺少必要依赖导致sysdig功能受限
Minimal安装不包含 libpcap 、 json-c 等库， sysdig -c httplog 会报错 json output not available 。解决方案：

# 安装核心依赖（注意：不要装全量@Development Tools，太重）
sudo yum groupinstall "Development Tools" -y  # 仅需gcc、make等基础工具
sudo yum install -y libpcap-devel json-c-devel ncurses-devel

# 验证：sysdig应显示支持json输出
sysdig --version | grep json  # 输出：json output: enabled

提示：VMware Workstation Pro中建议为CentOS 7虚拟机分配至少2GB内存和2个vCPU，因为sysdig实时捕获时会占用约300MB内存，而LAMP服务本身需1GB以上。磁盘空间预留20GB，其中 /var/log/sysdig/ 目录需单独规划，避免填满根分区。

3.2 LAMP环境标准化部署与sysdig兼容性加固

在CentOS 7上部署LAMP不能直接 yum install httpd php mysql-server ，必须做三处关键加固以确保sysdig审计的准确性：

加固1：Apache配置标准化，暴露进程上下文
默认Apache prefork模型下，所有worker进程名均为 httpd ，sysdig无法区分静态资源和PHP脚本。需修改 /etc/httpd/conf/httpd.conf ：

# 启用进程名前缀，让sysdig能识别PHP请求
LoadModule mpm_prefork_module modules/mod_mpm_prefork.so
<IfModule mpm_prefork_module>
    StartServers          5
    MinSpareServers       5
    MaxSpareServers      10
    MaxRequestWorkers    150
    MaxConnectionsPerChild   0
    # 关键：为PHP进程添加标识
    SetEnvIf Request_URI "\.php$" PHP_PROCESS=1
</IfModule>

# 在虚拟主机中启用PHP进程名标记
<VirtualHost *:80>
    DocumentRoot "/var/www/html"
    <Directory "/var/www/html">
        Options Indexes FollowSymLinks
        AllowOverride All
        Require all granted
        # 让PHP脚本执行时进程名显示为"php-cgi"
        AddHandler application/x-httpd-php .php
        Action application/x-httpd-php "/usr/bin/php-cgi"
    </Directory>
</VirtualHost>

重启Apache后， ps aux | grep php 会显示 /usr/bin/php-cgi /var/www/html/api/login.php ，sysdig即可通过 proc.name=php-cgi 精准过滤。

加固2：MySQL配置增强审计字段
默认MySQL日志不记录客户端IP和执行时间，sysdig虽能捕获网络包，但无法关联到具体SQL。需在 /etc/my.cnf 中添加：

[mysqld]
# 启用通用查询日志（仅调试期开启，生产环境用慢查询日志）
general_log = ON
general_log_file = /var/log/mysql/general.log
# 关键：记录完整SQL和客户端IP
log_output = FILE
log_queries_not_using_indexes = OFF

# 增强连接信息（sysdig可捕获此字段）
performance_schema = ON
# 允许sysdig读取performance_schema表
sql_mode = "STRICT_TRANS_TABLES,NO_ZERO_DATE,NO_ZERO_IN_DATE,ERROR_FOR_DIVISION_BY_ZERO,NO_AUTO_CREATE_USER,NO_ENGINE_SUBSTITUTION"

创建日志目录并授权：

sudo mkdir -p /var/log/mysql
sudo chown mysql:mysql /var/log/mysql
sudo chmod 755 /var/log/mysql
sudo systemctl restart mysqld

加固3：PHP配置暴露执行上下文
默认PHP-FPM池名均为 www ，sysdig无法区分不同应用。修改 /etc/php-fpm.d/www.conf ：

; 将池名改为应用名，便于sysdig过滤
[laravel-app]
listen = /run/php-fpm/laravel.sock
listen.owner = nginx
listen.group = nginx
user = nginx
group = nginx
pm = dynamic
pm.max_children = 50
pm.start_servers = 5
pm.min_spare_servers = 5
pm.max_spare_servers = 35

; 关键：在进程名中嵌入应用标识
process_name = laravel-app

重启PHP-FPM： sudo systemctl restart php-fpm 。此时 ps aux | grep laravel-app 显示进程名为 php-fpm: pool laravel-app ，sysdig可通过 proc.name contains "laravel-app" 精准捕获。

3.3 sysdig安装与核心审计命令实操详解

在加固后的LAMP环境中，sysdig安装和使用需遵循以下步骤：

步骤1：添加sysdig官方仓库并安装

# 导入GPG密钥（避免yum警告）
sudo rpm --import https://s3.amazonaws.com/download.draios.com/DRAIOS-GPG-KEY.public

# 创建仓库文件
sudo tee /etc/yum.repos.d/draios.repo << 'EOF'
[draios]
name=draios
baseurl=https://s3.amazonaws.com/download.draios.com/stable/rpm
enabled=1
gpgcheck=1
gpgkey=https://s3.amazonaws.com/download.draios.com/DRAIOS-GPG-KEY.public
EOF

# 安装sysdig（自动解决内核模块依赖）
sudo yum install -y sysdig

# 加载内核模块（首次需手动）
sudo /usr/bin/sysdig-probe-loader

验证安装： sudo sysdig --version 应输出 0.29.1 ， lsmod | grep sysdig 应显示 sysdig_probe 模块已加载。

步骤2：基础网络流量审计——定位异常连接源
当发现MySQL连接数飙升时，执行：

# 捕获所有与3306端口相关的网络事件，按客户端IP聚合
sudo sysdig -A -c topconns "fd.port=3306 and evt.type=connect" | head -20

输出示例：

# 14:22:03.128123456 15671 (php-cgi) > connect(4<ipv4>, 192.168.10.5:3306, 16) 
# 14:22:03.128123789 15671 (php-cgi) < connect(4<ipv4>, 192.168.10.5:3306, 16) 
# 14:22:03.128124012 15672 (php-cgi) > connect(4<ipv4>, 192.168.10.5:3306, 16) 
# 14:22:03.128124345 15672 (php-cgi) < connect(4<ipv4>, 192.168.10.5:3306, 16) 
# 14:22:03.128124678 15673 (php-cgi) > connect(4<ipv4>, 192.168.10.5:3306, 16) 
# 14:22:03.128124901 15673 (php-cgi) < connect(4<ipv4>, 192.168.10.5:3306, 16)

这里立刻定位到异常IP 192.168.10.5 ，且所有连接均由 php-cgi 进程发起。进一步确认该IP对应的服务：

# 查看192.168.10.5的进程详情
sudo sysdig -A "fd.cip=192.168.10.5 and evt.type=connect" | head -10

步骤3：深度协议审计——解析HTTP与MySQL交互
要查看具体哪个PHP脚本在调用数据库，执行：

# 捕获所有HTTP请求及关联的MySQL连接
sudo sysdig -A -c httplog "proc.name=php-cgi and http.uri contains '/api/'" | grep -A5 -B5 "192.168.10.5"

输出：

Method: POST URL: /api/v2/login.php Host: api.example.com 
User-Agent: Mozilla/5.0 (X11; Linux x86_64) 
Body: username=test&password=12345678 
-- 
# 14:22:03.128124678 15671 (php-cgi) > connect(4<ipv4>, 192.168.10.5:3306, 16) 
# 14:22:03.128124901 15671 (php-cgi) < connect(4<ipv4>, 192.168.10.5:3306, 16) 
# 14:22:03.128125234 15671 (php-cgi) > write(4<ipv4>, "SELECT * FROM users WHERE username='test'", 42)

至此，完整链路清晰： /api/v2/login.php 接收POST请求 → 连接 192.168.10.5:3306 → 执行SELECT查询。如果该IP是测试环境数据库，说明生产代码误连了测试库——这就是sysdig审计的价值。

步骤4：持久化审计与合规报告生成
为满足安全审计要求，需将流量日志持久化：

# 创建审计日志目录
sudo mkdir -p /var/log/sysdig/audit
sudo chown root:root /var/log/sysdig/audit
sudo chmod 700 /var/log/sysdig/audit

# 启动后台审计（捕获所有网络事件，保留7天）
sudo sysdig -w /var/log/sysdig/audit/$(date +%Y%m%d_%H%M%S).scap -C 1000 -z \
  "evt.type in (connect,accept,send,recv) and fd.type=ipv4" &

# 生成每日合规报告（统计各应用连接数）
sudo sysdig -r /var/log/sysdig/audit/20231001_000000.scap \
  -c topconns "fd.port=3306" > /var/log/sysdig/report/20231001_mysql_conns.txt

报告内容示例：

Client IP	Connection Count	Process Name	Duration
192.168.10.5	1247	php-cgi	24h
127.0.0.1	892	httpd	24h
10.0.2.15	3	curl	24h

注意： -C 1000 参数限制单个捕获文件大小为1000MB， -z 启用gzip压缩，避免磁盘爆满。实测表明，在1000QPS的LAMP环境中，sysdig每小时生成约120MB压缩文件，7天共需约20GB空间。

4. 高阶技巧与实战问题排查：那些官方文档不会写的细节

4.1 sysdig过滤器的“反直觉”陷阱与绕过方案

sysdig的过滤语法看似简单，但实际使用中存在三个易踩的“反直觉”陷阱：

陷阱1： fd.cip 与 fd.sip 的语义混淆
新手常以为 fd.cip=192.168.10.5 表示“客户端IP为192.168.10.5”，但实际 fd.cip 代表“连接发起方IP”，在服务端视角下，它对应的是客户端IP；而在客户端视角下， fd.cip 却是服务端IP。例如，当PHP脚本连接MySQL时：

在PHP进程（客户端）中， fd.cip 是MySQL服务器IP（如 127.0.0.1 ）；
在MySQL进程（服务端）中， fd.cip 是PHP客户端IP（如 192.168.10.5 ）。

绕过方案 ：永远用双向过滤。审计MySQL连接时，不单用 fd.cip ，而用：

# 正确：同时匹配客户端和服务端视角
sudo sysdig -A "fd.cip=192.168.10.5 or fd.sip=192.168.10.5 and fd.port=3306"

陷阱2： proc.name 匹配的进程名截断问题
CentOS 7的 /proc/[pid]/comm 文件只存储15字符进程名， php-cgi 会被截断为 php-cgi ，但 /usr/bin/php-cgi /var/www/html/api.php 的完整路径在 /proc/[pid]/cmdline 中。 proc.name=php-cgi 能匹配，但 proc.name="/usr/bin/php-cgi" 会失败。

绕过方案 ：用 proc.cmdline 匹配完整命令行：

# 精准匹配带参数的PHP脚本
sudo sysdig -A 'proc.cmdline contains "php-cgi" and proc.cmdline contains "/api/login.php"'

陷阱3： http.uri 过滤的URL编码陷阱
当HTTP请求URL含中文或特殊字符（如 /api/search?q=北京 ）， http.uri 字段存储的是原始URL编码（ /api/search?q=%E5%8C%97%E4%BA%AC ），直接用 http.uri contains "北京" 会失败。

绕过方案 ：用正则表达式解码后匹配：

# sysdig支持PCRE正则，用\s匹配空格，\xXX匹配十六进制
sudo sysdig -A 'http.uri pcre "(q=.*?)(?:&|$)"' | grep -E "q=[a-zA-Z0-9\u4e00-\u9fa5]+"

4.2 LAMP性能瓶颈的sysdig诊断树：从现象到根因的决策路径

当LAMP响应变慢时，sysdig提供一套结构化诊断流程，避免盲目猜测：

第一步：确认是网络层还是应用层问题

# 统计各进程的网络I/O等待时间（单位：纳秒）
sudo sysdig -c topscalls_time "evt.type=send or evt.type=recv" | head -10

如果 php-cgi 的 send 调用平均耗时>100ms，说明网络传输慢（如防火墙策略、路由问题）；
如果 php-cgi 的 recv 调用耗时长，但 httpd 的 send 耗时短，说明PHP脚本在等后端服务（如MySQL、Redis）；
如果 httpd 的 send 耗时长，但 php-cgi 无记录，说明是Apache自身问题（如mod_ssl加密开销大）。

第二步：定位后端依赖瓶颈

# 查看PHP进程连接的所有后端服务及响应时间
sudo sysdig -A -c echo_fds "proc.name=php-cgi and fd.type=ipv4" | \
  awk '{if($NF~/^>/){print $0}}' | \
  sed -n '/connect/,/write/p' | \
  grep -E "(connect|write|read)" | \
  awk '{print $1,$2,$3,$4,$5,$6,$7,$8,$9,$10,$11,$12,$13,$14,$15,$16,$17,$18,$19,$20}' | \
  column -t

输出中重点关注 read 调用的时间差：若 connect 到 read 间隔>500ms，说明后端服务响应慢。

第三步：关联文件I/O确认配置问题

# 检查PHP是否在读取缓慢的配置文件
sudo sysdig -A "proc.name=php-cgi and fd.name contains 'config' and evt.type=read" | \
  awk '{print $1,$2,$3,$4,$5,$6,$7,$8,$9,$10,$11,$12,$13,$14,$15,$16,$17,$18,$19,$20}' | \
  column -t

若发现 /etc/resolv.conf 读取耗时>100ms，说明DNS解析慢，需检查 /etc/resolv.conf 中nameserver是否配置了不可达的地址。

4.3 生产环境sysdig资源占用优化实战

在VMware虚拟机中，sysdig默认配置可能占用过高CPU，影响LAMP服务。我的优化方案如下：

CPU占用优化

默认sysdig每秒采样1000次，对CPU压力大。用

-D

参数降低采样率：

# 将采样率降至200次/秒（足够捕获1000QPS流量）
sudo sysdig -D 200 -w audit.scap "evt.type=connect"

禁用不必要的事件类型：

# 只捕获网络和进程事件，禁用文件、DNS等
sudo sysdig -p "%evt.time %proc.name %fd.name %evt.type" \
  "evt.type in (connect,accept,send,recv,execve,fork)"

内存占用优化

sysdig默认缓存100MB事件，用

-B

参数限制：

# 缓存降至20MB，适合2GB内存的VMware虚拟机
sudo sysdig -B 20971520 -w audit.scap "fd.port=3306"

使用环形缓冲区避免OOM：

# 当文件达500MB时自动覆盖最旧数据
sudo sysdig -w audit.scap -C 500 -z "fd.type=ipv4"

磁盘IO优化

避免频繁写入小文件，用

-F

参数批量写入：

# 每1000个事件批量写入一次
sudo sysdig -F 1000 -w audit.scap "evt.type=connect"

实测数据：在VMware Workstation Pro（2vCPU/2GB RAM）中，优化后sysdig CPU占用从12%降至3.2%，内存占用从320MB降至85MB，磁盘IO下降65%，而审计精度无损。

5. 常见问题速查表与独家避坑经验

问题现象	根本原因	解决方案	我的实操心得
`sysdig: error while loading shared libraries: libjson-c.so.2: cannot open shared object file`	CentOS 7 Minimal未安装json-c库	`sudo yum install -y json-c`	不要装 `json-c-devel` ，它只含头文件；运行时需 `json-c` 包
`FATAL: Module sysdig_probe not found.`	内核模块未编译或版本不匹配	`sudo /usr/bin/sysdig-probe-loader` ；若失败，检查 `uname -r` 与 `rpm -q kernel` 是否一致	VMware中升级内核后必须重新运行 `sysdig-probe-loader` ，否则模块加载失败
`sysdig -c httplog` 输出为空	Apache未启用 `mod_headers` 或PHP未用CGI模式	`sudo a2enmod headers` ；确认PHP Handler为 `application/x-httpd-php`	`httplog` 解析依赖HTTP头中的 `User-Agent` 和 `Host` 字段，缺失任一都会失败
`sysdig -A` 输出乱码（如 `\x00\x00\x00` ）	终端编码不支持UTF-8或sysdig未正确解码	`export LANG=en_US.UTF-8` ；用 `sysdig -c echo_fds` 替代 `-A`	`-A` 模式对二进制数据强制ASCII化，对MySQL协议等二进制流不友好，优先用 `-c` 内置解析器
`sudo sysdig` 提示 `Operation not permitted`	SELinux阻止sysdig访问内核	`sudo setsebool -P sysdig_can_load_kernel_modules 1`	CentOS 7.9后新增SELinux布尔值，比手动写模块更安全
`sysdig -r file.scap` 报错 `invalid magic number`	scap文件被gzip二次压缩或损坏	`gunzip -k file.scap.gz` ；用 `file file.scap` 确认格式	sysdig的 `.scap` 文件是自定义二进制格式，不能用 `tar` 或 `zip` 压缩，必须用 `-z` 参数
`proc.name=php` 过滤不到PHP进程	PHP以 `php-fpm` 方式运行，进程名为 `php-fpm: pool www`	改用 `proc.name contains "php-fpm"` 或 `proc.cmdline contains "php"`	LAMP中PHP运行模式决定进程名，prefork用 `php-cgi` ，fpm用 `php-fpm` ，需根据实际配置调整过滤器
`fd.cip` 始终显示 `127.0.0.1`	MySQL配置了 `bind-address=127.0.0.1` ，所有连接都走本地回环	修改 `/etc/my.cnf` 中`bind-address=0.0