eBPF监控工具bcc系列四工具argdist

argdist工具用于探测指定的函数，并收集参数到一个直方图和频率计数器。可以在没有调试器的情况下，过滤并打印敢兴趣的参数，从而理解指定参数的分布图。

例如像知道一个应用中的内存分配块大小情况，可以指向如下：

./argdist -p 2420 -c -C 'p:c:malloc(size_t size):size_t:size'

如果要变成柱状图，参数修改成-H即可。

./argdist -p 2420 -c -H 'p:c:malloc(size_t size):size_t:size'

其他函数同理：

./argdist -c -H 'p:c:write(int fd, void *buf, size_t len):size_t:len'

这个write的跟踪中，因为系统中的write会被很多进程调用，如果先想执行写到STDOUT中的write。那么可以增加过滤条件如下：

./argdist -c -H 'p:c:write(int fd, void *buf, size_t len):size_t:len:fd==1'

            更进一步的，用户的内存分配函数是malloc,在内核态也有一个和它对应的函数叫做kmalloc函数，可以使用如下：

./argdist -i 3 -n 2 -H 'p::__kmalloc(size_t size):size_t:size'

            跟踪字符串打印函数：

./argdist -i 10 -n 1 -C 'p:c:puts(char *str):char*:str'

            这个命令会输出10秒内字符串函数puts调用的次数和内容。

如果是gets函数，则使用如下命令：

./argdist -i 10 -n 1 -C 'r:c:gets():char*:(char*)$retval:$retval!=0'

同理，如果要得到read函数返回的直方图，使用如下命令

./argdist -i 10 -c 1 -H 'r:c:read()'

            更进一步找到同步延时超过0.1ms的进程

./argdist -C 'r::__vfs_read():u32:$PID:$latency > 100000'

计算malloc分配每个字节的时间

./argdist -H 'r:c:malloc(size_t size):u64:$latency/$entry(size);ns per byte' -n 1 -i 10

也可以跟踪kmalloc函数

./argdist -c -C 'p::__kmalloc(size_t size, gfp_t flags):gfp_t,size_t:flags,size'

argdist支持kernel tracepoints,内核版本之间的tracepoints变化很小，鼓励使用tracepoints.

 

 

使用argdist跟踪内核的tracepoints如下：

argdist -C 't:net:net_dev_start_xmit():u16:args->protocol'

argdist可以使用STRCMP函数来支持过滤，如下：

argdist -c -H 'r:c:open(char *file):u64:$latency/1000:STRCMP("test.txt",$entry(file))'

最后一个样例，超出系统中每个进程调用write的次数

argdist -c -C 'p:c:write():int:$PID;write per process' -n 2