Предполагаем, что у вас есть две программы eBPF: одна из них имеет тип BPF_PROG_TYPE_TRACEPOINT, а другая BPF_PROG_TYPE_KPROBE. Точка трассировки присоединяется к sys_enter_execve, а kprobe будет прикрепляться к тому же системному вызову.
Существует ли здесь определенный порядок выполнения? Я бы предположил, что точка трассировки подключается непосредственно перед тем, как ядро входит в системный вызов, а kprobe подключается точно в точку входа системного вызова, но я не уверен и не смог найти документацию по этому поводу.
Подробнее здесь: https://stackoverflow.com/questions/790 ... ered-first
