ltrace (Library Call Tracer)

ltrace est l'outil traçant les appels aux bibliothèques partagées (shared libraries — libc, libssl, etc.) faits par un processus. Complément de strace qui trace les syscalls — ltrace opère un niveau au-dessus, montrant les fonctions library (strcpy, malloc, fopen, SSL_read, etc.).

Utilisations : (1) `ltrace command` ; (2) `ltrace -p PID` — attach ; (3) `ltrace -f` — follow forks ; (4) `ltrace -e malloc+free command` — filter functions ; (5) `ltrace -c command` — count summary ; (6) `ltrace -S command` — show syscalls too (combine ltrace + strace) ; (7) `ltrace -l libssl.so command` — only specific library.

Use cases : (1) **Reverse engineering** — comprendre comportement binary sans source ; (2) **Library debugging** — quelle fonction libssl appelée ? quels args ? ; (3) **Performance** — fonctions library bottleneck ; (4) **Memory leak hunting** — malloc/free mismatches.

Limitations : (1) ne fonctionne que sur dynamically linked binaries (statiques pas tracés) ; (2) overhead significatif (les programmes ralentissent dramatiquement) ; (3) pas tout est lisible — fonctions C++ mangled names ; (4) less commun que strace.

Modernes alternatives : (1) **eBPF tools** — uprobes pour tracer user-space functions avec moins overhead (bpftrace, Tracee, Falco) ; (2) **perf trace** ; (3) **DTrace** (BSD/Solaris/macOS). Compétences LFCS, RHCSA.