int register_kprobes(struct kprobe **kps, int num) //注册探测函数向量,包含多个探测点 void unregister_kprobes(struct kprobe **kps, int num) //卸载探测函数向量,包含多个探测点 int disable_kprobe(struct kprobe *kp) //临时暂停指定探测点的探测 int enable_kprobe(struct kprobe *kp) //恢复指定探...
kprobes 提供了对内核的动态插桩支持,它从 2004 年正式加入 Linux 内核,从 2.6.9 版本开始可用。 kprobes 函数可以对任何内核函数进行插桩( 除非该函数被特殊标记为不能被插桩,如 kprobe 函数本身用来防止一些安全问题),它可以对函数内部的指令进行插桩。可以实时在生产环境系统中启用,不需要重启系统,也不需要通过特...
uprobe 的工作方式和 kprobe 相似: 将一个快速断点指令插入目标指令处, 该指令将控制权转交给 uprobe 处理函数.当不再需要 uprobe 时, 目标指令被恢复成原来的样子.对于 uretprobe, 也是在函数入口处使用 uprobe 进行插桩, 而在函数返回之前则使用一个蹦床函数对返回地址进行劫持, 和 kretprobe 类似.gdb 就使用...
大部BPF程序都是这一类，主要通过kprobe、tracepoint（rawtracepoint）等追踪系统行为及获取系统硬件信息。也可以访问特定程序的内存区域，从运行进程中提取执行跟踪信息。网络 这类BPF程序用于检测和控制系统的网络流量。可以对网络接口数据包进行过滤，甚至可以完全拒绝数据包。用户态是通过系统调用来加载BPF程序到内核的，...
感谢那些新的钩子,eBPF 程序才可以被设计用于各种各样的情形下,其分为两个应用领域。其中一个应用领域是内核跟踪和事件监控。BPF 程序可以被附着到探针(kprobe),而且它与其它跟踪模式相比,有很多的优点(有时也有一些缺点)。 另外一个应用领域是网络编程。除了套接字过滤器外,eBPF 程序还可以附加到 tc(Linux 流量...
kprobe:do_sys_open是一个 bpftrace 的探针(probe),用于跟踪Linux内核中的do_sys_open系统调用。 实际上kprobe是一种用于在内核函数入口处执行的探针类型,属于动态跟踪。do_sys_open是一个内核函数,它在打开文件时被调用。而tracepoint属于静态跟踪 实际的动态跟踪Demo ...
遍历bpf程序(函数如kprobe_vfs_read)指令集合prog->insnsi[],调用build_insn进行指令的jit编译 5、还原堆栈build_epilogue 1) 当前指针减去stack_size,将是BPF fp register的地方(前面build_prologue我们报错寄存器的尾部) 2) 依次弹出刚才我们保存的寄存器,tcc、r9/r8/r7/r6、FP/LR ...
遍历bpf程序(函数如kprobe_vfs_read)指令集合prog->insnsi[],调用build_insn进行指令的jit编译 5、还原堆栈build_epilogue 1) 当前指针减去stack_size,将是BPF fp register的地方(前面build_prologue我们报错寄存器的尾部) 2) 依次弹出刚才我们保存的寄存器,tcc、r9/r8/r7/r6、FP/LR ...
BPF程序可以一次编译到处运行,因为它依赖的辅助函数,映射表,BPF指令集属于稳定的API。 六、编写BPF程序 6.1 准备知识 开发BPF指令显然不适合直接用BPF指令开发,所以大牛们开发了一些前端工具让我们可以更方便的开发,比如我们可以通过C来编写BPF程序,然后通过LLVM编译成BPF。
b.attach_kprobe(event="blk_start_request", fn_name="trace_start") b.attach_kprobe(event="blk_mq_start_request", fn_name="trace_start") 本质上它声明一个 BPF 哈希(它的作用是当请求开始/完成时,这个程序去触发跟踪),一个名为 trace_start 的函数将被编译进 BPF 字节码,然后附加 trace_start...