系统调用/函数调用跟踪

何时使用 / 何时不用

• 用：观察程序运行行为（文件/网络/进程操作）；记录系统调用与库调用序列作为证据；定位动态解析的 API（GetProcAddress/dlopen 之后）
• 不用：只需内存内容（走 [[re-memdump]]）；只需静态逻辑（反编译技能）
• 不用：Windows 目标用 APIMonitor/ProcMon（本技能 Linux/macOS 为主）

工具准备

参考 [[re-analyze/platform-tips]] 最高原则——跟踪即动态执行，默认在沙箱内进行，网络隔离。

strace（Linux）