Cómo averiguar qué archivo está escrito actualmente por un proceso

Mi situación es que de vez en cuando un proceso específico (en este caso, es Thunderbird) no reacciona a la entrada del usuario durante un minuto más o menos. Descubrí que usando iotopeso durante este tiempo, escribe bastante en el disco, y ahora quiero saber en qué archivo escribe, pero desafortunadamente iotopsolo proporciona estadísticas por proceso y no por archivo abierto (descriptor).

Sé que puedo usar lsofpara averiguar qué archivos ha abierto actualmente el proceso, pero, por supuesto, Thunderbird tiene muchos de ellos abiertos, por lo que esto no es tan útil. iostatsolo muestra estadísticas por dispositivo.

El problema se produce solo al azar y puede tardar bastante tiempo en aparecer, por lo que espero no tener que atravesar Thunderbird y recorrer largos registros para averiguar qué archivo tiene la mayor cantidad de escrituras.

Si adjunta strace al proceso justo cuando está colgado (puede obtener el pid y poner en cola el comando por adelantado, en un terminal de repuesto), mostrará el descriptor de archivo de la escritura de bloqueo.

Ejemplo trivial:

$ mkfifo tmp
$ cat /dev/urandom > tmp &
[1] 636226
  # this will block on open until someone opens for reading

$ exec 4<tmp
  # now it should be blocked trying to write

$ strace -p 636226
Process 636226 attached - interrupt to quit
write(1, "L!\f\335\330\27\374\360\212\244c\326\0\356j\374`\310C\30Z\362W\307\365Rv\244?o\225N"..., 4096 <unfinished ...>
^C
Process 636226 detached

Si tiene acceso de root, creo que la mejor herramienta sería el subsistema de auditoría . No hay mucha literatura al respecto (pero más que sobre los logfs); usted puede comenzar con este tutorial o un par de ejemplos o simplemente con la auditctlpágina de manual . Aquí, debería ser suficiente para asegurarse de que se inicia el demonio, luego se ejecuta auditctlcomo root:

auditctl -a exit,always -F pid=1234 -F dir=/home/philipp

Esto escribirá en los registros /var/log/audit/audit.logcada vez que el proceso con pid 1234 escriba en algún lugar debajo /home/philipp. La sobrecarga es bastante pequeña, mucho más pequeña que strace.