^^&&^^

Edit File: sysc_setxattr.stp

# setxattr ___________________________________________________
# long sys_setxattr(char __user *path,
#		  char __user *name,
#		  void __user *value,
#		  size_t size,
#		  int flags)
#

@define _SYSCALL_SETXATTR_NAME
%(
	name = "setxattr"
%)

@define _SYSCALL_SETXATTR_ARGSTR
%(
	argstr = sprintf("%s, %s, %s, %u, %s", path, name_str, value_str,
	                 size, flags_str)
%)

@define _SYSCALL_SETXATTR_REGARGS
%(
	path_uaddr = pointer_arg(1)
	path = user_string_quoted(path_uaddr)
	name_uaddr = pointer_arg(2)
	name_str = user_string_quoted(name_uaddr)
	value_uaddr = pointer_arg(3)
	size = ulong_arg(4)
	value_str = _stp_xattr_val_str(value_uaddr, size)
	flags = int_arg(5)
	flags_str = _stp_xattr_flags_str(flags)
%)

probe syscall.setxattr = dw_syscall.setxattr !, nd_syscall.setxattr ? {}
probe syscall.setxattr.return = dw_syscall.setxattr.return !,
                                nd_syscall.setxattr.return ? {}

# dw_setxattr _____________________________________________________

probe dw_syscall.setxattr = kernel.function("sys_setxattr").call
{
	@_SYSCALL_SETXATTR_NAME
	path_uaddr = @choose_defined($pathname, $path)
	path = user_string_quoted(@choose_defined($pathname, $path))
	name_uaddr = $name
	name_str = user_string_quoted($name)
	value_uaddr = $value
	value_str = _stp_xattr_val_str($value, $size)
	size = __ulong($size)
	flags = __int32($flags)
	flags_str = _stp_xattr_flags_str(__int32($flags))
	@_SYSCALL_SETXATTR_ARGSTR
}
probe dw_syscall.setxattr.return = kernel.function("sys_setxattr").return
{
	@_SYSCALL_SETXATTR_NAME
	@SYSC_RETVALSTR($return)
}

# nd_setxattr _____________________________________________________

probe nd_syscall.setxattr = nd1_syscall.setxattr!, nd2_syscall.setxattr!, tp_syscall.setxattr
  { }

probe nd1_syscall.setxattr = kprobe.function("sys_setxattr") ?
{
	@_SYSCALL_SETXATTR_NAME
	asmlinkage()
	@_SYSCALL_SETXATTR_REGARGS
	@_SYSCALL_SETXATTR_ARGSTR
}

/* kernel 4.17+ */
probe nd2_syscall.setxattr = kprobe.function(@arch_syscall_prefix "sys_setxattr") ?
{
	__set_syscall_pt_regs(pointer_arg(1))
	@_SYSCALL_SETXATTR_NAME
	@_SYSCALL_SETXATTR_REGARGS
	@_SYSCALL_SETXATTR_ARGSTR
}

/* kernel 3.5+, but undesirable because it affects all syscalls */
probe tp_syscall.setxattr = kernel.trace("sys_enter")
{
	__set_syscall_pt_regs($regs)
	@__syscall_compat_gate(@const("__NR_setxattr"), @const("__NR_compat_setxattr"))
	@_SYSCALL_SETXATTR_NAME
	@_SYSCALL_SETXATTR_REGARGS
	@_SYSCALL_SETXATTR_ARGSTR
}

probe nd_syscall.setxattr.return = nd1_syscall.setxattr.return!, nd2_syscall.setxattr.return!, tp_syscall.setxattr.return
  { }

probe nd1_syscall.setxattr.return = kprobe.function("sys_setxattr").return ?
{
	@_SYSCALL_SETXATTR_NAME
	@SYSC_RETVALSTR(returnval())
}

/* kernel 4.17+ */
probe nd2_syscall.setxattr.return = kprobe.function(@arch_syscall_prefix "sys_setxattr").return ?
{
	@_SYSCALL_SETXATTR_NAME
	@SYSC_RETVALSTR(returnval())
}

/* kernel 3.5+, but undesirable because it affects all syscalls */
probe tp_syscall.setxattr.return = kernel.trace("sys_exit")
{
	__set_syscall_pt_regs($regs)
	@__syscall_compat_gate(@const("__NR_setxattr"), @const("__NR_compat_setxattr"))
	@_SYSCALL_SETXATTR_NAME
	@SYSC_RETVALSTR($ret)
}