数入口

当我们定义uprobe时内核会在附加的指令上创建快速断点指令X86机器位int3指令当程序执行到该指令时内核将触发时间程序陷入内核态并以回调函数的方式调用探针函数执行完探针函数再返回到用户态继续执行后续代码。

uprobe基于文件当一个二进制文件中的一个函数被跟踪时所有使用到这个文件的进程都会被插桩包括那些尚未启动的进程这样就可以在全系统范围内跟踪系统调用。

libbpf

该函数可以将BPF程序附加到通过二进制路径和偏移量找到的用户空间函数中。

可以选择指定要附加的特定进程还可以选择将程序附加到函数出口或入口。

struct

*bpf_program__attach_uprobe(const

struct

pid附加uprobe的进程ID0表示自身进程-1表示所有进程

返回值

bpf_program__attach_uprobe_opts

struct

*bpf_program__attach_uprobe_opts(const

struct

pid附加uprobe的进程ID0表示自身进程-1表示所有进程

返回值

该函数与上一个函数类似只不过它覆盖了USDT用户空间静态定义跟踪点附件而不是附加到用户控件函数入口和出口。

struct

*bpf_program__attach_usdt(const

struct

pid附加uprobe的进程ID0表示自身进程-1表示所有进程

usdt_nameUSDT探针名称

编写一个简单的程序循环调用test_add和test_sub函数。

src/o***r/main.c

b));sleep(1);printf(test_sub(%d,

%d)

-dynamic参数确保二进制文件中包含了所有调试信息和符号信息BPF程序需要通过这些信息进行打桩否则不能正常打桩。

查看符号函数

命令最后输出的符号test_add和test_sub便是我们需要打桩的符号名称。

重要某些情况下函数名称和符号表中的名称可能不一致在后续BPF打桩时需要使用符号表中函数名称。

uprobe

在内核中我们使用SEC宏定义要打桩的函数使用BPF_KPROBE宏定义函数探针函数。

SEC有两种模式

指定要捕获的二进制文件路径和要捕获的函数符号名在用户程序中只需要使用xxx_bpf__attach(skel)即可

不指定要捕获的二进制文件路径和要捕获的函数符号名用户程序中则需要使用bpf_program__attach_uprobe进行指定参数附加

#include

则在用户程序中只需要使用xxx_bpf__attach(skel)即可*/

SEC(uprobe//root/project/bpf_user_core/build/o***r:test_add)

int

}SEC(uretprobe//root/project/bpf_user_core/build/o***r:test_add)

int

在用户程序中则需要使用bpf_program__attach_uprobe进行指定参数附加*/

SEC(uprobe)

在用户程序中使用bpf_program__attach_uprobe_opts或bpf_program__attach_uprobe加载探针程序

src/user/load_bpf.c

err;LIBBPF_OPTS(bpf_uprobe_opts,

uprobe_opts);libbpf_set_print(libbpf_print_fn);skel

(!skel)

skeleton\n);kernel_bpf__destroy(skel);return

NULL;}/*

bpf_program__attach_uprobe_opts(skel-progs.test_sub,-1,

所有进程

*//root/project/bpf_user_core/build/o***r,0,uprobe_opts);if

{err

err);kernel_bpf__destroy(skel);return

NULL;}/*

bpf_program__attach_uprobe_opts(skel-progs.ret_test_sub,-1,

所有进程

*//root/project/bpf_user_core/build/o***r,0,uprobe_opts);if

{err

err);kernel_bpf__destroy(skel);return

NULL;}err

skeleton\n);kernel_bpf__destroy(skel);return

NULL;}return

https://github.com/zhutouwangzha/eBPF.git

002-ebpf-uprobe

/sys/kernel/debug/tracing/trace_pipe

成功执行后能看到如下输出