一. bpftrace是什么& 怎么安装
bpftrace 是 BPF 跟踪的高级前端，它使用了 bcc 的库。
git链接
https://github.com/bpftrace/bpftrace
系统信息
[root@oe2203sp1-lts ~]# cat /etc/openEuler-latest
openeulerversion=openEuler-22.03-LTS-SP1
compiletime=2022-12-27-22-15-04
gccversion=10.3.1-20
kernelversion=5.10.0-136.12.0.86.oe2203sp1
openjdkversion=1.8.0.352.b08-3.oe2203sp1
安装
yum install bpftrace -y
二.bpftrace语法是什么
语法和awk类似
// 这些换行不是必须的
/采用与 C 语言类似的注释/
BEGIN{
// 开始时执行一次的代码
}
probe/filter/ {
// 事件与 prob 和 filter 匹配时执行
}
END{
// 结束时执行
}
bpftrace 的语法：
probe/filter/ {
actions;
}
示例1
bpftrace -e 'BEGIN{printf("Hello, World!\n");}END{printf("Bye, World!\n")}'
Attaching 2 probes...
Hello, World!
Bye, World!
三.运行 bpftrace 脚本有两种不同的方式：
bpftrace -e ‘cmds’ 执行单行指令；
bpftrace filename 执行脚本文件；
易读1
利用 shell 换行：
[root@localhost ~]# bpftrace -e '
BEGIN{
printf("Hello, World!\n");
}END{
printf("Bye, World!\n");
}'
在脚本尾部的单引号之前，按照需要换行即可。
易读2：文件中
// hello.bt
// 这是一段注释
/* 这是另一种注释 */
BEGIN{
printf("Hello, World!\n");
}
END{
printf("Bye, World!\n");
}
保存为 hello.bt，这看起来就更像一般的脚本文件了，可以这样让它运行起来：
[root@localhost ~]# bpftrace hello.bt
bpftrace 来说，它只接受了 2 个参数：
'-e'；
一个包含所有指令的字符串；
四.eBPF 支持哪些探针？
bpftrace -l
-------------------------
[root@localhost ~]# bpftrace -l | wc -l
82013
[root@localhost ~]# bpftrace -l | awk -F ":" '{print $1}' | sort | uniq -c
10 hardware
2 iter
35083 kfunc
45102 kprobe
11 software
1805 tracepoint
bpftrace 约有 82013 个探针，其中包含：
hardware
iter
kfunc
kprobe
software
tracepoint
五. 实践
打印hello
bpftrace -e 'BEGIN {printf("hello world\n");}'
Attaching 1 probe...
hello world
查看函数
bpftrace -l | grep vfs_read
kfunc:vfs_read
kfunc:vfs_readlink
kprobe:vfs_read
kprobe:vfs_readlink
kprobe:vfs_readv
kprobe 与kretprobe成对
打印pid comm
bpftrace -e 'kprobe:vfs_read {printf("pid = %d, comm = %s\n",pid,comm);}'
间隔2秒打印
bpftrace -e 'kprobe:vfs_read {@ID = pid} interval:s:2 {printf("pid = %d, comm = %s\n",@ID,comm);}'
bpftrace -e 'interval:s:1 {time()}' -- 每一秒打印一次时间
bpftrace -e 'interval:ms:1 {time()}' -- 每一毫秒打印一次时间
作者：心远气自静
链接：https://www.jianshu.com/p/8c835b083582
来源：简书
著作权归作者所有。商业转载请联系作者获得授权，非商业转载请注明出处。
退出时打印
bpftrace -e 'kprobe:vfs_read {@ID = pid}'
bpftrace -e 'kprobe:vfs_read {@Start[pid] = nsecs} kretprobe:vfs_read {@ns[comm] = nsecs - @Start[pid]; delete(@Start[pid]) }'
// 探针 定义一个数组 Start[pid] 获取时间 nsecs纳秒 内置变量
bpftrace -e 'kprobe:vfs_read {@Start[pid] = nsecs} kretprobe:vfs_read /@Start[pid] / {@ns[comm] = nsecs - @Start[pid]; delete(@Start[pid]) }'
// 当 /@Start[pid] /为真时执行后边
用户态
cat add.c
#include <stdio.h>
int a =1,b=2;
int add(int x,int y)
{
return x+y;
}
int main()
{
int z;
z = add(a,b);
printf("z=%d\n",z);
return 0;
}
打印/root/a.out 进程号
bpftrace -e 'uprobe:/root/a.out:add {printf("ID = %d\n",pid);}'
打印add函数的参数x arg0 是个地址
bpftrace -e 'uprobe:/root/a.out:add {printf("argv[1] = %d\n",arg0);}'
第二个参数存到a2中退出时打印
bpftrace -e 'uprobe:/root/a.out:add {@a2=arg1}'
多探针
bpftrace -e 'kprobe:vfs_read,kprobe:vfs_readv {@ID = pid}'
打印文件名
查看参数
bpftrace -lv tracepoint:syscalls:sys_enter_openat
tracepoint:syscalls:sys_enter_openat
int __syscall_nr
int dfd
const char * filename
int flags
umode_t mode
bpftrace -e 'tracepoint:syscalls:sys_enter_openat { printf("%s %s\n", comm, str(args->filename)); }'
先看下vfs_read的函数入参
ssize_t vfs_read(struct file *file, char __user *buf, size_t count, loff_t *pos)
{
-------------------------
struct file {
...
struct path f_path;
...
struct path {
...
struct dentry *dentry;
...
struct dentry {
...
struct qstr d_name;
...
struct qstr {
...
const unsigned char *name;
bpftrace --include linux/path.h --include linux/dcache.h -e 'kprobe:vfs_open { printf("open path: %s\n", str(((struct path *)arg0)->dentry->d_name.name)); }'
参考
