本文是 eBPF 入门开发实践教程的第篇，在 eBPF 中使用 kprobe 捕获 unlink 系统调用。 本文会先讲解关于 kprobes 的基本概念和技术背景，然后介绍如何在 eBPF 中使用 kprobe 捕获 unlink 系统调用。

2021年5月11日 · kprobe调试技术是为了便于跟踪内核 函数 执行状态所设计的一种轻量级内核调试技术。 利用kprobe技术，可以在内核绝大多数函数中 动态插入探测点，收集调试状态所需信息而基本不影响原有执行流程。 kprobe提供三种探测手段： kprobe 、 jprobe 和 kretprobe，其中jprobe和kretprobe基于kprobe实现，分别应用于不同探测场景中。 可以通过两种方式使用kprobe： 第二种是使用 kprobes in ftrace，这种方式结合kprobe和ftrace，可以通过kprobe来优化ftrace …

2023年12月12日 · 首先 kprobe 是最基本的探测方式，是实现后两种的基础，它可以在任意的位置放置探测点（就连函数内部的某条指令处也可以），它提供了探测点的调用前、调用后和内存访问出错3种回调方式，分别是 pre_handler、post_handler 和 fault_handler，其中 pre_handler 函数将在被探测指令被执行前回调，post_handler 会在被探测指令执行完毕后回调（注意不是被探测函数），fault_handler 会在内存访问出错时被调用；jprobe 基于 kprobe 实现，它用于获取被探测函 …

2024年4月6日 · Kprobes是 Linux 内核中的一个功能，它允许开发人员在内核空间中进行动态的代码跟踪和调试 可以在内核代码的任何位置插入调试代码，以便监视和调试内核中发生的事件或特定函数的执行情况

2024年1月11日 · kprobe是一种动态调试机制，能够动态地中断内核处理流程并无中断地收集调试和性能信息，可以在内核的绝大多数指定函数中动态插入探测点来收集所需的调试状态信息而基本不影响内核原有的执行流程，kprobe不用修改内核源码，是指令集的探测技术。 有三种方式来达到kprobe的目的。 编写内核模块，增加kprobe hook。 使用ftrace 监控kprobe event。 使用ebpf 增加kprobe hook。 本篇只讲第一种。 工作机制如图所示， 当注册一个kprobe的时候，把addr位置 …

2021年5月12日 · 在 《Linux内核 eBPF基础：kprobe原理源码分析：基本介绍与使用》 中已经介绍了kprobe的基本原理，本文将基于linux5.10.13内核进行源码分析，相关注释代码在 https://github.com/Rtoax/linux-5.10.13 查看。 1. 引言. 内核使用kprobe，可以使用register_kprobe ()/unregister_kprobe ()进行注册/卸载，还可以临时关闭/使能探测点。 对于kretprobe同样有一套接 …

2022年11月21日 · 说起 eBPF 大家都不陌生，就内核而言，hook 会尽可能选在 tracepoint，如果没有 tracepoint，会考虑使用 kprobe。 tracepoint 的范围有限，而内核函数又太多，基于各种需求场景，kprobe 的出场机会较多；但需要注意的，并不是所有的内核函数都可以选做 hook 点，inline 函数无法被 hook，static 函数也有可能被优化掉；如果想知道究竟有哪些函数可以选做 hook 点，在 Linux 机器上，可以通过 less /proc/kallsyms 查看。 使用 eBPF 时，内核代码 kprobe 的 …

2023年8月21日 · Kprobe是Linux内核中的一个功能，可以实现无感知、动态切入任何内核活动中，并且收集调试和性能信息，一个很典型的使用案例就是切入内核的某个函数中并且获取传入参数和返回值。 Kprobe共有两个类型，一个是Kprobe，一个是Kretprobe，他们都被统称为probes，前者用于切入内核函数并且获取传入参数，后者用于切入内核函数并且获取返回值。 早期的Kprobe是以内核模块的形式开发，错误的操作会直接导致模块panic，并且可能会影响内核运 …

2023年8月14日 · 本文会先讲解关于 kprobes 的基本概念和技术背景，然后介绍如何在 eBPF 中使用 kprobe 捕获 unlink 系统调用。 开发人员在内核或者模块的调试过程中，往往会需要要知道其中的一些函数有无被调用、何时被调用、执行是否正确以及函数的入参和返回值是什么等等。 比较简单的做法是在内核代码对应的函数中添加日志打印信息，但这种方式往往需要重新编译内核或模块，重新启动设备之类的，操作较为复杂甚至可能会破坏原有的代码执行过程。

2023年4月5日 · Linux kprobes 调试技术是内核开发者们专门为了便于跟踪内核函数执行状态所设计的一种轻量级内核调试技术。 利用 kprobes 技术，内核开发人员可以在内核的绝大多数指定函数中动态的插入探测点来收集所需的调试状态信息而基本不影响内核原有的执行流程。