eBPF基础

已于 2024-01-02 22:59:27 修改
阅读量1.1k 收藏 20
点赞数 24
分类专栏： eBPF 文章标签： linux arm
于 2024-01-02 22:17:11 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_38232169/article/details/135351344
版权

eBPF基础

文章目录

视频讲解

eBPF基础

eBPF是什么？

eBPF 是可以在内核虚拟机中运行的程序，可以在不重启内核，不加载内核模块的情况下动态安全的扩展内核功能；

BPF 和 eBPF 的区别：

BPF :

是 Berkeley Packet Filter（伯克利包过滤）的简写；
BPF一般也叫做：cBPF (classic BPF)；
BPF允许用户空间程序链接到任何的网络套接字上，根据流过网络套接字的数据的类型进行过滤筛选；
网络抓包工具：tcpdump 或者 wireshark 就是BPF的经典应用案例；

eBPF: [e]xtended BPF

eBPF 在 BPF 的基础上进行改进增强：
1. 使用的寄存器个数从2个增加到10个
2. 寄存器从32bit扩展到64bit
3. 512 字节堆栈，无限制大小的 “map” 存储
4. 其它

​

eBPF有什么用？

主要用在：网络，安全，可视化；

简单的应用可以查看下开源代码： bpf-developer-tutorial 的 sample 程序描述

eBPF的数据流？

以 libbpf 为例：

在这里插入图片描述

eBPF 数据流：

  1. 用C语言编写 eBPF 的代码；

  2. 用clang编译器把 C语言代码 编译成 eBPF 字节码；

  3. 通过 bpf 的 syscall 系统调用，把eBPF字节码加载到内核；

  4. 内核对eBPF字节码进行安全校验；是否有内存越界风险，复杂度是否过高，是否会进入死循环等；

  5. 内核对eBPF字节码即时编译成本地机器码；

  6. 把eBPF程序attach到挂接点，比如: system calls, function entry/exit, kernel tracepoints, network events, 等；

  7. 挂接点上的eBPF程序被触发运行； eBPF 程序都是被动触发运行的；

  8. C语言编写的eBPF代码(这个示例代码是在 libbpf-bootstrap 框架下开发的):

#include "vmlinux.h" //需要内核支持BTF
#include <bpf/bpf_helpers.h>
#include <bpf/bpf_tracing.h>

// eBPF代码功能：只要应用层打开文件，就会打印文件名
// 这个eBPF程序要运行在内核态
// 这个eBPF程序有2个section

// 第1个 section: 指定 license，如果没有指定，内核拒绝加载这个eBPF程序
char LICENSE[] SEC("license") = "Dual BSD/GPL";

// 第2个 section: 在 do_sys_open 内核接口的入口处放置一个kprobe探测点
// 只要打开文件，就会触发这个eBPF程序，并且打印这个文件名
SEC("kprobe/do_sys_open")
int BPF_KPROBE(do_sys_open, int dfd, const char *filename)
{
	bpf_printk("do_sys_open: name=%s\n", filename);

	return 0;
}

  1. 用clang编译器把 C语言代码 编译成 eBPF 字节码；字节码用elf格式存储；

    2.1 编译：

    clang -O2 -target bpf -c hello.bpf.c -o hello.bpf.o

    2.2 查看elf中的Section Headers:

    llvm-readelf -S hello.bpf.o 

    There are 13 section headers, starting at offset 0x670:

Section Headers:
  [Nr] Name              Type            Address          Off    Size   ES Flg Lk Inf Al
  [ 0]                   NULL            0000000000000000 000000 000000 00      0   0  0
  [ 1] .strtab           STRTAB          0000000000000000 0005eb 000082 00      0   0  1
  [ 2] .text             PROGBITS        0000000000000000 000040 000000 00  AX  0   0  4
  [ 3] kprobe/do_sys_open PROGBITS       0000000000000000 000040 000038 00  AX  0   0  8
  [ 4] .relkprobe/do_sys_open REL        0000000000000000 000568 000010 10   I 12   3  8
  [ 5] license           PROGBITS        0000000000000000 000078 00000d 00  WA  0   0  1
  [ 6] .rodata           PROGBITS        0000000000000000 000085 000016 00   A  0   0  1
  [ 7] .BTF              PROGBITS        0000000000000000 00009c 0003af 00      0   0  4
  [ 8] .rel.BTF          REL             0000000000000000 000578 000020 10   I 12   7  8
  [ 9] .BTF.ext          PROGBITS        0000000000000000 00044c 00008c 00      0   0  4
  [10] .rel.BTF.ext      REL             0000000000000000 000598 000050 10   I 12   9  8
  [11] .llvm_addrsig     LLVM_ADDRSIG    0000000000000000 0005e8 000003 00   E  0   0  1
  [12] .symtab           SYMTAB          0000000000000000 0004d8 000090 18      1   4  8
Key to Flags:
  W (write), A (alloc), X (execute), M (merge), S (strings), I (info),
  L (link order), O (extra OS processing required), G (group), T (TLS),
  C (compressed), x (unknown), o (OS specific), E (exclude),
  R (retain), p (processor specific)

    2.3 查看clang编译得到eBPF字节码：

    llvm-objdump -d hello.bpf.o

    .output/hello.bpf.o:	file format elf64-bpf

Disassembly of section kprobe/do_sys_open:

0000000000000000 <do_sys_open>:
       0:	79 13 68 00 00 00 00 00	r3 = *(u64 *)(r1 + 0x68)
       1:	18 01 00 00 00 00 00 00 00 00 00 00 00 00 00 00	r1 = 0x0 ll
       3:	b7 02 00 00 16 00 00 00	r2 = 0x16
       4:	85 00 00 00 06 00 00 00	call 0x6
       5:	b7 00 00 00 00 00 00 00	r0 = 0x0
       6:	95 00 00 00 00 00 00 00	exit

///
call 0x6: 
	表示调用 在 bpf_helper_defs.h 文件中定义的 bpf_trace_printk 枚举值对应的内核接口
	这个内核接口是在内核代码中的 linux-5.4.150/kernel/trace/bpf_trace.c 文件中定义：
	bpf_trace_printk_proto
r0 = 0x0:
	表示把返回值存入 r0 寄存器

  2. 通过 bpf 的 syscall 系统调用，把eBPF字节码加载到内核；

// libbpf-bootstrap/libbpf/src/bpf.c
static inline int sys_bpf(enum bpf_cmd cmd, union bpf_attr *attr,
			  unsigned int size)
{
	return syscall(__NR_bpf, cmd, attr, size);
}

static inline int sys_bpf_fd(enum bpf_cmd cmd, union bpf_attr *attr,
			     unsigned int size)
{
	int fd;

	fd = sys_bpf(cmd, attr, size);
	return ensure_good_fd(fd);
}

int sys_bpf_prog_load(union bpf_attr *attr, unsigned int size, int attempts)
{
	int fd;

	do {
		fd = sys_bpf_fd(BPF_PROG_LOAD, attr, size);
	} while (fd < 0 && errno == EAGAIN && --attempts > 0);

	return fd;
}
  1. 内核对eBPF字节码进行安全校验；

​ clang 编译通过，并不表示内核就可以检查通过；

SEC("kprobe/vfs_write")
int BPF_KPROBE(vfs_write, struct file *file, const char *buf, size_t count, loff_t *pos)
{
	char dst_buf[256];
    
    /* 把 vfs_write 接口中的 buf 参数中的数据 读到 dst_buf 数组中，读取的数据长度为 count；
     * count 是个变量，运行过程中，可能会大于 dst_buf 数组长度，会导致数组越界，可能会导致内核崩溃；
     * 这样的eBPF代码，内核是拒绝执行的；
     * 如果把count改成常量，比如256，这样就确定不会数组越界，就可以通过内核检查；
     */
	bpf_probe_read_user(dst_buf, count, buf);

	return 0;
}
  1. 内核对eBPF字节码进行JIT编译成本地机器码
# 以下命令可以查看加载到内核中的eBPF字节码
# 打印内核运行中的eBPF id
sudo bpftool prog show

# 打印 id = 53 的eBPF程序的汇编指令
sudo bpftool prog dump xlated id 53
sudo bpftool prog dump xlated id 53 opcodes # 增加 opcode(字节码) 的打印

# JIT 编译成本地机器码，暂时还没办法看到

  1. 把eBPF程序attach到 do_sys_open

  2. 挂接点上的eBPF程序被触发运行

    观察下 eBPF 程序的输出结果；

maps的作用：

​ 负责内核层和应用层之间的数据交互，比如：

​ 应用层通过map获取内核层eBPF程序收集到的数据；

​ 应用层把参数通过map传递给内核层的eBPF程序；

#include "vmlinux.h" //需要内核支持BTF
#include <bpf/bpf_helpers.h>
#include <bpf/bpf_tracing.h>

// 现在的eBPF程序，不管什么进程打开文件，都会打印文件名称出来，
// 如果只打印用户指定进程ID打开的文件名称，要怎么做？
//   用户态程序通过map，把指定的进程ID传给内核态的eBPF程序
//   如果调用 do_sys_open 接口的当前进程ID不等于用户指定的进程ID，就不输出打印，否则打印；

// 定义1个数组类型的map,数组长度为1，key 为数组下标，value是用户指定的PID(进程ID)
struct {
	__uint(type, BPF_MAP_TYPE_ARRAY);
	__uint(max_entries, 1);
	__type(key, u32);       // array数组下标
	__type(value, pid_t);   // 用户指定的pid
} my_pid_map SEC(".maps");

char LICENSE[] SEC("license") = "Dual BSD/GPL";

SEC("kprobe/do_sys_open")
int BPF_KPROBE(do_sys_open, int dfd, const char *filename)
{
	u32 index = 0;
    
    // 获取调用 do_sys_open 内核接口的当前进程ID
	pid_t pid = bpf_get_current_pid_tgid() >> 32;
    
    // 查找数组下标为0的数组元素值，即应用层传下来的 PID
	pid_t *my_pid = bpf_map_lookup_elem(&my_pid_map, &index);

    // 如果当前进程ID不等于应用层指定的PID，就不打印
	if (!my_pid || *my_pid != pid)
		return 1;

	bpf_printk("do_sys_open: name=%s\n", filename);

	return 0;
}

eBPF map的类型介绍，使用场景，程序示例，请参考：

http://arthurchiao.art/blog/bpf-advanced-notes-1-zh/

eBPF的开发框架有哪些？

​ eBPF程序开发过程涉及 内核态代码编写，用户态代码编写，编译，加载，应用层和内核层数据交互等，很多繁琐的事情就可以交给开发框架来处理；目前主要有：

bcc，bpftrace，libbpf-bootstrap，Go eBPF library

bcc 和 bpftrace 是：python语言库；

Go eBPF library 是：GO语言库；

libbpf-bootstrap 是：C语言库；

参考：

​ https://ebpf.io/what-is-ebpf/#development-toolchains

​ https://github.com/eunomia-bpf/bpf-developer-tutorial

​ bpf-developer-tutorial/src/0-introduce/README.md

eBPF参考资料

基础概念：
Linux源码/Documentation/networking/filter.txt
https://ebpf.io/what-is-ebpf/

​ https://www.kernel.org/doc/html/latest/bpf/libbpf/index.html

开源代码:

​ libbpf-bootstrap：https://github.com/libbpf/libbpf-bootstrap

​ libbpf-bootstrap 中文介绍：https://blog.csdn.net/sinat_38816924/article/details/122259826

​ libbpf-bootstrap 英文原版介绍：https://nakryiko.com/posts/libbpf-bootstrap/

​ bpf-developer-tutorial： https://github.com/eunomia-bpf/bpf-developer-tutorial

​ bpf-developer-tutorial 的readme文档中有非常丰富的资源介绍；

其它：

​ eBPF C编程:

​ https://www.bilibili.com/video/BV1f54y1h74r/?spm_id_from=333.999.0.0&vd_source=5c3a508420a1ab4902225c642abde096

​ ebpf工作原理浅析：

​ https://www.bilibili.com/video/BV1HW4y1674H/?spm_id_from=333.999.0.0&vd_source=5c3a508420a1ab4902225c642abde096

​ 内核支持版本：

​ https://github.com/iovisor/bcc/blob/master/docs/kernel-versions.md

​

张口就问
关注
  • 24
    点赞
  • 踩
  • 20
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
ebpf基础篇(二) ----- ebpf前世今生
happyAnger6的专栏
12-24 927
它提供了数据链路层的接口,可以在数据链路层发送和接收数据.如果网卡支持混杂模式,所有的数据包都可以被接收,即使这些数据包的目的地址是其它主机.安全是因为ebpf程序需要经过内核中验证器的验证,它可以进行静态代码分析,拒绝可能crash,hang或者对内核有负作用的代码.这些过滤指令实际上是由内核中运行的虚拟机执行的,这个内核中的虚拟机就是BPF的实现核心.这种验证模式和沙箱机器不同,沙箱的运行环境是有限制的,且对执行的程序没有了解能力.,程序可以关联到内核的多种hooks,并在事件触发时运行.
4.1 ebpf基础能力拆解
从0到1，突破自己
03-29 204
想要彻底理解eBPF的能力，我们就需要知道它主要的应用场景是什么？无论eBPF的演进路线，还是开发者生态，eBPF主要的两大应用场景分别是网络优化和性能监控。网络优化这里不必赘述，因为它是从BPF演进拓展而来，而BPF则因网络而存在。本章节主要来聊性能监控。ebpf虽然让开发者们具备了在不改动内核的情况下可以编写运行在内核中的ebpf程序，但这是有条件的。
eBPF技术概述
qq_17045267的博客
06-15 3954
TCP原理之：BPF技术 一、BPF原理分析 1.1 简介 BPF全称叫做“Berkeley Packet Filter”（柏克莱封包过滤器），之所以这样叫是因为最开始它是用作网络链路层的报文过滤。经过二十多年的发展，BPF现在所能实现的功能已经远远超过了“包过滤”这一范畴，那么BSP到底是个什么东西呢？ BPF分为cBPF和eBPF，其中cBPF指的是classic BPF，即经典（老的）BPF...
BPF入门1：BPF技术简介
legend050709的专栏
12-20 4495
ebpf
Markdown 高效建站指南 Hugo/Typora/Chevereto/Docker/Nginx
dwh0403的专栏
12-01 1313
Markdown 高效建站指南 Hugo/Typora/Chevereto/Docker/Nginx 2020年11月7日 1. 概览 本系列博客使用 Markdown 编写，建站工具为 Hugo，Markdown 编辑器采用 Typora，图床使用自建的 Chevereto，生产环境部署采用 Nginx + Docker 。 最终形成的效果是可以对于本地的截图在 Typora 粘贴过程中自动上传到 Chevereto 搭建的图床，极大地方便了图文排列的 Markdown 问题，由于采用自建图床也.
【转】BPF详解
热门推荐
mrhesongze的博客
09-25 1万+
原文地址：https://linux.cn/article-9507-1.html 什么是 BPF? BPF，及伯克利包过滤器BerkeleyPacketFilter，最初构想提出于 1992 年，其目的是为了提供一种过滤包的方法，并且要避免从内核空间到用户空间的无用的数据包复制行为。它最初是由从用户空间注入到内核的一个简单的字节码构成，它在那个位置利用一个校验器进行检查 —— 以避免内核...
BPF BTF 详细介绍
dwh0403的专栏
09-24 2672
本文地址：https://www.ebpf.top/post/kernel_btf/ 英文文档：https://www.kernel.org/doc/html/latest/bpf/btf.html 1. 介绍 BTF（BPF 类型格式）是一种元数据格式，对与 BPF 程序 /map 有关的调试信息进行编码。BTF 这个名字最初是用来描述数据类型。后来，BTF 被扩展到包括已定义的子程序的函数信息和行信息。 调试信息可用于 map 的更好打印、函数签名等。函数签名能够更好地实现 bpf 程序/函数的内核符号
基于eBPF的云原生可观测性开源项目Kindling之eBPF基础设施库技术选型
eBPF_Kindling的博客
05-25 498
eBPF技术正以令人难以置信的速度发展，作为一项新兴技术，它具备改变容器网络、安全、可观测性生态的潜力。eBPF作为更加现代化的内核技术，相较于内核模块，它的编写难度已经有了较大的降低，但是不可否认对于普通开发者还是有一定门槛。因此，很多云原生软件会在eBPF系统调用(函数)和libbpf之上封装一层更加简单易用的api，比如falco的libs、bcc的libbcc、cilium的cilium-ebpf。笔者将这些依赖库称之为eBPF的基础设施。Kindling专注于云可观测性领域，致力于排查各种复杂故障
ebpf基础篇(一) -------- hello ebpf
happyAnger6的专栏
12-23 409
很多东西的学习都开始于一个’hello world’, ebpf也不例外。实验环境: ubuntu 20.04。
基于eBPF/XDP快速转发
04-02
接下来，安装LIBBPF库，它是eBPF编程的基础工具，可以通过git克隆并编译安装。最后，安装bpftool，这是一个用于管理eBPF程序和映射的命令行工具。 **第二章 项目说明** 本项目的目标是实现基于eBPF/XDP的快速转发...
企业级环境部署：在 Linux 服务器上如何搭建和部署 Python 环境？
sdgfafg_25的博客
08-29 445
在大部分企业里，自动化测试框架落地都肯定会集成到Jenkins服务器上做持续集成测试，自动构建以及发送结果到邮箱，实现真正的无人值守测试。不过Jenkins搭建一般都会部署在公司的服务器上，不会在私人电脑里，而服务器大部分都是Linux操作系统的。所以，我们如果要在Linux上的Jenkins服务器里运行python自动化的脚本，那么就在linux服务器上把python以及相关用到的第三方库的环境都安装部署好。我们今天就给大家详细介绍一下Linux里如何安装和部署Python的环境。
Linux基础知识（一、什么是Linux）
心寒的博客
08-26 945
什么是Linux Linux创始人
Linux中的常见命令——用户管理命令
qq_45569925的博客
08-27 396
默认创建用户的时候会在home文件夹下创建一个与用户同名的文件夹【该用户的主目录】，也可以在创建用户的时候设置该用户主目录的名称。【输入的密码是不在控制台显示的，输入完之后直接按回车键即可】使用wgh用户查看root下的文件。【此时的用户是没有密码的】给创建的用户设置密码。查看某个用户是否存在。
Linux高性能服务器编程 总结索引 | 第2章：IP协议详解
最新发布
AsherGu的博客
08-29 409
IP服务的特点；IPv4头部结构；IP分片；IP路由：IP模块工作流程，路由机制，路由表更新；IP转发；重定向；IPv6头部结构：IPv6固定头部结构，IPv6扩展头部
linux 系统性能调优技巧
m0_50641264的博客
08-27 283
【代码】linux 系统性能调优技巧。
RockPI 4A单板Linux 4.4内核下的RK3399 GPIO功能解析
m0_67544708的博客
08-26 846
在GPIO方面，RK3399提供了多达16个GPIO控制器，每个控制器可配置的GPIO引脚数量不等。通过详细的代码解析和示例，帮助读者理解如何在Linux内核中使用GPIO，以及如何通过GPIO实现单板的基本控制和功能扩展。为了更好地理解如何在Linux内核中使用RK3399的GPIO功能，下面是一个简单的示例代码，展示了如何通过GPIO控制LED灯的亮灭。函数，用于设置GPIO引脚的方向。在设置GPIO引脚方向为输出模式后，可以设置GPIO引脚的值。在获取GPIO引脚后，可以设置GPIO引脚的方向。
Linux——进程管理
m0_67677309的博客
08-29 302
1、通过fork创建的子进程会拷贝父进程(数据段、bss段、堆、栈、I/O缓冲区)，与父进程共享代码段、子进程会继承父进程的信号处理方式。ITIMER_VIRTUAL 虚拟计时器 用户态的计时SIGVTALRM(26)**使用的时候要对应。ITIMER_REAL 真实计时器 程序总的计时时间SIGALRM(14)void (*sa_restorer)(void);// 第一次产生时钟信号的时间 **3秒钟一次，每个两秒。
Linux下，执行shell遇let:not found
janet110617的博客
08-27 224
在Linux下执行shell脚本，提示let:not found错误，文章介绍了错误原因及其解决方法
在linux 中如何将.c 文件转换为可执行文件
千千道的博客
08-29 918
在 Linux 环境下进行 C 语言编程时，将.c文件转换为可执行文件是一个关键的步骤。这个过程涉及到使用编译器和一些相关的工具，本文将详细介绍在 Linux 系统中如何将.c文件转换为可执行文件的方法。
eBPF进阶：从基础到应用扩展详解
eBPF（扩展Berkeley Packet Filter）是一种强大的网络和系统管理工具，源自Linux内核中的古老技术BPF（Berkeley Packet Filter）。与传统的BPF相比，eBPF经历了显著的增强，特别是从Linux 3.18版本开始引入的特性： ...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值