本文探讨了Linux内核中的kprobe如何通过nop实现函数调用监控，以及ftrace如何利用kprobe挂接hooks。进一步介绍了ebpf技术，它使用kprobe替换hooks，执行由ebpf字节码编写的程序，支持jit和aot两种代码执行策略。
最近和行业大佬探讨关于Linux内核中kprobe、ftrace、ebpf关系的一些，特此记录：
- ftrace提供了每个函数调用前添加nop的空指令
- kprobe利用这nop替换，挂hooks进行调用
- ebpf基于kprobe把hooks换成ebpf的入口函数，然后ebpf入口函数经过处理调用ebpf的程序（ebpf字节码）
- ebpf字节码在运行时有ebpf引擎校验解析，然后编译成二进制进行运行
- 2种代码执行策略：jit和aot：Just-In-Time运行时将字节码转换机器码，然后运行编译后的机器码，Ahead-Of-Time程序运行之前就编译丞机器码了。（比如gcc的程序）
扫一扫
1269
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
