u014448419的博客

原创 ebpf分析

用户态可以通过调用 sys_bpf() 系统调用把 eBPF 程序加载到内核，而 sys_bpf() 系统调用会通过调用 bpf_prog_load() 内核函数加载 eBPF 程序。由于 eBPF 程序运行在内核态，所为了安全，eBPF 程序中不能随意调用内核函数，只能调用 eBPF 提供的辅助函数（helper functions）。上述指定的函数(BPF_FUNC_trace_printk)需要重定向要内核函数。用户态 -> 系统调用 -> sys_bpf -> bpf_prog_load。