libbpf-bootstrap开发指南：内核态探针- kprobe

最新推荐文章于 2024-01-02 22:42:40 发布

Ym影子

最新推荐文章于 2024-01-02 22:42:40 发布

阅读量568

点赞数

分类专栏： BPF 文章标签：性能优化

本文链接：https://blog.csdn.net/qq_32378713/article/details/131748926

版权

BPF 专栏收录该内容

33 篇文章 12 订阅

订阅专栏

代码分析

BPF程序部分

// SPDX-License-Identifier: GPL-2.0 OR BSD-3-Clause
/* Copyright (c) 2021 Sartura */
#include "vmlinux.h"
#include <bpf/bpf_helpers.h>
#include <bpf/bpf_tracing.h>
#include <bpf/bpf_core_read.h>

char LICENSE[] SEC("license") = "Dual BSD/GPL";

SEC("kprobe/do_unlinkat")
int BPF_KPROBE(do_unlinkat, int dfd, struct filename *name)
{
	pid_t pid;
	const char *filename;

	pid = bpf_get_current_pid_tgid() >> 32;
	filename = BPF_CORE_READ(name, name);
	bpf_printk("KPROBE ENTRY pid = %d, filename = %s\n", pid, filename);
	return 0;
}

SEC("kretprobe/do_unlinkat")
int BPF_KRETPROBE(do_unlinkat_exit, long ret)
{
	pid_t pid;

	pid = bpf_get_current_pid_tgid() >> 32;
	bpf_printk("KPROBE EXIT: pid = %d, ret = %ld\n", pid, ret);
	return 0;
}

功能说明

用来监控在 Linux 中的文件删除操作的，具体来说是 unlinkat 系统调用

do_unlinkat 和 do_unlinkat_exit 不是系统调用，而是与 unlinkat 系统调用相关的内核函数和 BPF 程序中的探针。

do_unlinkat 是一个内核函数，它实现了 unlinkat 系统调用的功能。unlinkat 系统调用用于删除一个文件或者目录，其原型如下

int unlinkat(int dirfd, const char *pathname, int flags);

其中 dirfd 是一个文件描述符，它引用了一个目录；pathname 是要删除的文件或者目录的路径；flags 可以是 0，也可以是 AT_REMOVEDIR，如果是 AT_REMOVEDIR，那么 pathname 就会被当作目录处理。

do_unlinkat 接收的参数与此类似，但是 pathname 参数被替换为了一个 struct filename * 类型的参数，这是因为在内核中，文件名经常以 struct filename 结构体的形式进行传递。

do_unlinkat_exit 是 BPF 程序中定义的一个探针，它是一个 kretprobe。kretprobe 是内核返回探针，它会在某个内核函数执行完毕后触发。在这个 BPF 程序中，do_unlinkat_exit 会在 do_unlinkat 函数执行完毕后触发。

do_unlinkat_exit 探针的功能是获取 do_unlinkat 的返回值，并打印一条包含了执行这个函数的进程的 PID 和返回值的消息。这对于追踪 unlinkat 系统调用的行为非常有用，因为你可以看到每次这个系统调用执行时的 PID 和返回值。

BPF_CORE_READ

BPF_CORE_READ(src, field) 是一个 eBPF 提供的宏，用于从内核空间读取数据。这个宏的工作方式类似于 C 语言的 . 运算符，但是它可以安全地用于读取内核数据，而不会导致 eBPF 程序因为尝试访问无效的内核内存地址而被终止。

BPF_CORE_READ(name, name) 这行代码的意图是从 struct filename *name 结构体中读取 name 字段的值，然后将这个值赋给 filename 变量。在这里，struct filename *name 是内核函数 do_unlinkat 的一个参数，struct filename 结构体的 name 字段通常用于存储文件名。

用户程序部分

// SPDX-License-Identifier: (LGPL-2.1 OR BSD-2-Clause)
/* Copyright (c) 2021 Sartura
 * Based on minimal.c by Facebook */

#include <stdio.h>
#include <unistd.h>
#include <signal.h>
#include <string.h>
#include <errno.h>
#include <sys/resource.h>
#include <bpf/libbpf.h>
#include "kprobe.skel.h"

static int libbpf_print_fn(enum libbpf_print_level level, const char *format, va_list args)
{
	return vfprintf(stderr, format, args);
}

static volatile sig_atomic_t stop;

static void sig_int(int signo)
{
	stop = 1;
}

int main(int argc, char **argv)
{
	struct kprobe_bpf *skel;
	int err;

	/* Set up libbpf errors and debug info callback */
	libbpf_set_print(libbpf_print_fn);

	/* Open load and verify BPF application */
	skel = kprobe_bpf__open_and_load();
	if (!skel) {
		fprintf(stderr, "Failed to open BPF skeleton\n");
		return 1;
	}

	/* Attach tracepoint handler */
	err = kprobe_bpf__attach(skel);
	if (err) {
		fprintf(stderr, "Failed to attach BPF skeleton\n");
		goto cleanup;
	}

	if (signal(SIGINT, sig_int) == SIG_ERR) {
		fprintf(stderr, "can't set signal handler: %s\n", strerror(errno));
		goto cleanup;
	}

	printf("Successfully started! Please run `sudo cat /sys/kernel/debug/tracing/trace_pipe` "
	       "to see output of the BPF programs.\n");

	while (!stop) {
		fprintf(stderr, ".");
		sleep(1);
	}

cleanup:
	kprobe_bpf__destroy(skel);
	return -err;
}

功能说明

加载一个 BPF 程序，将其附加到内核，然后等待用户的中断信号。

执行效果

  URL Classifier-6018    [004] d..31 77753.806532: bpf_trace_printk: KPROBE ENTRY pid = 5723, filename = /home/zy/snap/firefox/common/.cache/mozilla/firefox/faxkuo36.default/safebrowsing-updating/social-tracking-protection-twitter-digest256.sbstore

  URL Classifier-6018    [004] d..31 77753.806536: bpf_trace_printk: KPROBE EXIT: pid = 5723, ret = 0

 ThreadPoolForeg-50602   [006] d..31 77754.683597: bpf_trace_printk: KPROBE ENTRY pid = 6861, filename = /home/zy/.config/clash_win/Cache/Cache_Data/7c2d1cffc51cc88b_0

 ThreadPoolForeg-50602   [006] d..31 77754.683616: bpf_trace_printk: KPROBE EXIT: pid = 6861, ret = 0

 ThreadPoolForeg-50602   [006] d..31 77754.683625: bpf_trace_printk: KPROBE ENTRY pid = 6861, filename = /home/zy/.config/clash_win/Cache/Cache_Data/a70ac0571625a32a_0

 ThreadPoolForeg-50602   [006] d..31 77754.683637: bpf_trace_printk: KPROBE EXIT: pid = 6861, ret = 0

 ThreadPoolForeg-50618   [016] d..31 77754.683904: bpf_trace_printk: KPROBE ENTRY pid = 6861, filename = /home/zy/.config/clash_win/Cache/Cache_Data/352fee22ce52ccf1_0

 ThreadPoolForeg-50618   [016] d..31 77754.683934: bpf_trace_printk: KPROBE EXIT: pid = 6861, ret = 0

 Chrome_IOThread-6809    [012] d..31 77754.684552: bpf_trace_printk: KPROBE ENTRY pid = 6798, filename = /dev/shm/.org.chromium.Chromium.rrvRWo

 Chrome_IOThread-6809    [012] d..31 77754.684555: bpf_trace_printk: KPROBE EXIT: pid = 6798, ret = 0

 Chrome_IOThread-6809    [014] d..31 77754.685207: bpf_trace_printk: KPROBE ENTRY pid = 6798, filename = /dev/shm/.org.chromium.Chromium.n57azy

 Chrome_IOThread-6809    [014] d..31 77754.685209: bpf_trace_printk: KPROBE EXIT: pid = 6798, ret = 0

 Chrome_IOThread-6809    [014] d..31 77754.685665: bpf_trace_printk: KPROBE ENTRY pid = 6798, filename = /dev/shm/.org.chromium.Chromium.lHj06A

 Chrome_IOThread-6809    [014] d..31 77754.685666: bpf_trace_printk: KPROBE EXIT: pid = 6798, ret = 0