07 | 内核跟踪（上）：如何查询内核中的跟踪点？

1、首先给倪老师提个问题。【以 v5.13.0 为例，总的内核函数数量已经超过了 16 万】觉得这一表述不太准确，内核符号表 /proc/kallsyms 不仅包含了内核函数(static、非 static)，还包含了非栈数据变量。/proc/kallsyms 输出的第二列表示符号类型，包括 A、b、D、t、T 等，其中 T(t) 表示代码段符号表，大概有 7w+ 内核函数（其实还有极少数并非真正的内核函数）。 这 7w+ 内核函数中，只有被显式导出的内核函数（5w+）才能被 BPF kprobe 类型程序动态追踪。 以 5.13 内核版本为例，可通过 tracefs 或 bpftrace 统计，共 52259 个内核函数可以被 BPF 利用 kprobe 技术动态追踪： # cat /sys/kernel/debug/tracing/available_filter_functions | wc -l 52259 # bpftrace -l 'kprobe:*' | wc -l 52259 2、课后思考题，借用 bpftrace 内置函数 time() 输出时间 & 内置变量 curtask 获取父进程 pid（$task->parent->tgid），写成单行程序看起来不太直观，整理为以下脚本 execsnoop.bt。 ---------------- execsnoop.bt ----------------- #!/usr/bin/bpftrace #include <linux/sched.h> BEGIN { printf("%-9s %-6s %-6s %-16s %s\n", "TIME", "PID", "PPID", "COMM", "ARGS") } tracepoint:syscalls:sys_enter_execve, tracepoint:syscalls:sys_enter_execveat { $task = (struct task_struct *)curtask; time("%H:%M:%S "); printf("%-6d %-6d %-16s", pid, $task->parent->tgid, comm); join(args->argv); }

bpftrace --include linux/sched.h -e 'tracepoint:syscalls:sys_enter_execve,tracepoint:syscalls:sys_enter_execveat { time("%H:%M:%S ");printf("%-6d %-6d %-8s ", pid,curtask->parent->pid, comm); join(args->argv)}'

Ubuntu 22.04 ERROR: Could not resolve symbol: /proc/self/exe:BEGIN_trigger 解决方案： https://github.com/iovisor/bpftrace/issues/2168 echo "deb http://ddebs.ubuntu.com $(lsb_release -cs) main restricted universe multiverse deb http://ddebs.ubuntu.com $(lsb_release -cs)-updates main restricted universe multiverse deb http://ddebs.ubuntu.com $(lsb_release -cs)-proposed main restricted universe multiverse" | \ sudo tee -a /etc/apt/sources.list.d/ddebs.list sudo apt install ubuntu-dbgsym-keyring sudo apt update sudo apt install bpftrace-dbgsym

执行 bpftrace -l '*execve*' stdin:1:1-8: ERROR: No probe type matched for *execve *execve* ~~~~~~~ 遇到这个的可以升级下bpftrace版本，0.13.0+ https://github.com/iovisor/bpftrace/pull/1775

老师，我的系统是Ubuntu21.10，我在执行sudo bpftrace -l '*execve*'的时候，发现除了内核插桩（kprobe）和跟踪点（tracepoint）这两类，还有一类kfunc，我百度了一下，还是不太了解这个东西，老师可以简单说说吗？

$ sudo bpftrace -e 'tracepoint:syscalls:sys_enter_execve { printf("%ld %s ", nsecs, comm); join(args->argv);}' Attaching 1 probe... 349663019454998 core::system::S /usr/bin/cat /proc/cpuinfo 349663023173472 core::system::S /usr/bin/lscpu 349665017216698 core::system::S /usr/bin/cat /proc/cpuinfo 349665040019654 core::system::S /usr/bin/lscpu 349667017603472 core::system::S /usr/bin/cat /proc/cpuinfo 349667040035265 core::system::S /usr/bin/lscpu 349669017626924 core::system::S /usr/bin/cat /proc/cpuinfo 349669039803679 core::system::S /usr/bin/lscpu 349671018720543 core::system::S /usr/bin/cat /proc/cpuinfo 349671039711997 core::system::S /usr/bin/lscpu 349673018112968 core::system::S /usr/bin/cat /proc/cpuinfo 349673039088168 core::system::S /usr/bin/lscpu 349675016659748 core::system::S /usr/bin/cat /proc/cpuinfo 349675039289844 core::system::S /usr/bin/lscpu 349677018311393 core::system::S /usr/bin/cat /proc/cpuinfo 发现每隔2S就有一个core::system::S的进程不断使用lscpu并读取的内容/proc/cpuinfo，这个core::system::S是个啥呢？

请问倪老师，ebpf能对进程的I/O行为做比较细致紧密的监控探测么？

老师好，我有个疑问，eBPF和ftracer有什么关系吗？我看两个都是在debugfs下的tracing这个目录操作的

请问老师，bpftrace无法支持for循环和数组临时变量吗

使用bpftrace能查询性能事件吗？