snoop

snoop 是一个基于 eBPF 的现代 Linux 系统调用追踪工具，旨在替代传统 strace。它通过内核态 eBPF tracepoints 实现零停顿追踪，支持实时 TUI 界面、智能过滤（按文件/网络/耗时/系统调用类型）、参数语义化解码（如路径、socket 地址、标志位）、TLS 明文捕获及容器内进程追踪。相比 ptrace 方案，其性能开销更低、输出更可读，并支持 JSON/解释模式等多格式导出。适用于系统调试、安全分析、逆向工程和性能排查等需要低侵入、高可读性 syscall 监控的场景。