一. bpftrace是什么& 怎么安裝
bpftrace 是 BPF 跟蹤的高級前端，它使用了 bcc 的庫。
git鏈接
https://github.com/bpftrace/bpftrace
系統(tǒng)信息
[root@oe2203sp1-lts ~]# cat /etc/openEuler-latest
openeulerversion=openEuler-22.03-LTS-SP1
compiletime=2022-12-27-22-15-04
gccversion=10.3.1-20
kernelversion=5.10.0-136.12.0.86.oe2203sp1
openjdkversion=1.8.0.352.b08-3.oe2203sp1
安裝
yum install bpftrace -y
二.bpftrace語法是什么
語法和awk類似
// 這些換行不是必須的
/采用與 C 語言類似的注釋/
BEGIN{
// 開始時執(zhí)行一次的代碼
}
probe/filter/ {
// 事件與 prob 和 filter 匹配時執(zhí)行
}
END{
// 結(jié)束時執(zhí)行
}
bpftrace 的語法：
probe/filter/ {
actions;
}
示例1
bpftrace -e 'BEGIN{printf("Hello, World!\n");}END{printf("Bye, World!\n")}'
Attaching 2 probes...
Hello, World!
Bye, World!
三.運行 bpftrace 腳本有兩種不同的方式：
bpftrace -e ‘cmds’ 執(zhí)行單行指令；
bpftrace filename 執(zhí)行腳本文件；
易讀1
利用 shell 換行：
[root@localhost ~]# bpftrace -e '
BEGIN{
printf("Hello, World!\n");
}END{
printf("Bye, World!\n");
}'
在腳本尾部的單引號之前，按照需要換行即可。
易讀2：文件中
// hello.bt
// 這是一段注釋
/* 這是另一種注釋 */
BEGIN{
printf("Hello, World!\n");
}
END{
printf("Bye, World!\n");
}
保存為 hello.bt，這看起來就更像一般的腳本文件了，可以這樣讓它運行起來：
[root@localhost ~]# bpftrace hello.bt
bpftrace 來說，它只接受了 2 個參數(shù)：
'-e'；
一個包含所有指令的字符串；
四.eBPF 支持哪些探針？
bpftrace -l
-------------------------
[root@localhost ~]# bpftrace -l | wc -l
82013
[root@localhost ~]# bpftrace -l | awk -F ":" '{print $1}' | sort | uniq -c
10 hardware
2 iter
35083 kfunc
45102 kprobe
11 software
1805 tracepoint
bpftrace 約有 82013 個探針，其中包含：
hardware
iter
kfunc
kprobe
software
tracepoint
五. 實踐
打印hello
bpftrace -e 'BEGIN {printf("hello world\n");}'
Attaching 1 probe...
hello world
查看函數(shù)
bpftrace -l | grep vfs_read
kfunc:vfs_read
kfunc:vfs_readlink
kprobe:vfs_read
kprobe:vfs_readlink
kprobe:vfs_readv
kprobe 與kretprobe成對
打印pid comm
bpftrace -e 'kprobe:vfs_read {printf("pid = %d, comm = %s\n",pid,comm);}'
間隔2秒打印
bpftrace -e 'kprobe:vfs_read {@ID = pid} interval:s:2 {printf("pid = %d, comm = %s\n",@ID,comm);}'
bpftrace -e 'interval:s:1 {time()}' -- 每一秒打印一次時間
bpftrace -e 'interval:ms:1 {time()}' -- 每一毫秒打印一次時間
作者：心遠(yuǎn)氣自靜
鏈接：http://www.itdecent.cn/p/8c835b083582
來源：簡書
著作權(quán)歸作者所有。商業(yè)轉(zhuǎn)載請聯(lián)系作者獲得授權(quán)，非商業(yè)轉(zhuǎn)載請注明出處。
退出時打印
bpftrace -e 'kprobe:vfs_read {@ID = pid}'
bpftrace -e 'kprobe:vfs_read {@Start[pid] = nsecs} kretprobe:vfs_read {@ns[comm] = nsecs - @Start[pid]; delete(@Start[pid]) }'
// 探針 定義一個數(shù)組 Start[pid] 獲取時間 nsecs納秒 內(nèi)置變量
bpftrace -e 'kprobe:vfs_read {@Start[pid] = nsecs} kretprobe:vfs_read /@Start[pid] / {@ns[comm] = nsecs - @Start[pid]; delete(@Start[pid]) }'
// 當(dāng) /@Start[pid] /為真時執(zhí)行后邊
用戶態(tài)
cat add.c
#include <stdio.h>
int a =1,b=2;
int add(int x,int y)
{
return x+y;
}
int main()
{
int z;
z = add(a,b);
printf("z=%d\n",z);
return 0;
}
打印/root/a.out 進(jìn)程號
bpftrace -e 'uprobe:/root/a.out:add {printf("ID = %d\n",pid);}'
打印add函數(shù)的參數(shù)x arg0 是個地址
bpftrace -e 'uprobe:/root/a.out:add {printf("argv[1] = %d\n",arg0);}'
第二個參數(shù)存到a2中退出時打印
bpftrace -e 'uprobe:/root/a.out:add {@a2=arg1}'
多探針
bpftrace -e 'kprobe:vfs_read,kprobe:vfs_readv {@ID = pid}'
打印文件名
查看參數(shù)
bpftrace -lv tracepoint:syscalls:sys_enter_openat
tracepoint:syscalls:sys_enter_openat
int __syscall_nr
int dfd
const char * filename
int flags
umode_t mode
bpftrace -e 'tracepoint:syscalls:sys_enter_openat { printf("%s %s\n", comm, str(args->filename)); }'
先看下vfs_read的函數(shù)入?yún)?/p>
ssize_t vfs_read(struct file *file, char __user *buf, size_t count, loff_t *pos)
{
-------------------------
struct file {
...
struct path f_path;
...
struct path {
...
struct dentry *dentry;
...
struct dentry {
...
struct qstr d_name;
...
struct qstr {
...
const unsigned char *name;
bpftrace --include linux/path.h --include linux/dcache.h -e 'kprobe:vfs_open { printf("open path: %s\n", str(((struct path *)arg0)->dentry->d_name.name)); }'
參考
