7、深入理解BPF探针：从内核到用户空间的追踪利器

深入理解BPF探针：从内核到用户空间的追踪利器

在Linux系统中，为了实现对程序的追踪和调试，我们可以利用BPF（Berkeley Packet Filter）技术结合各种探针来收集系统信息。下面将详细介绍不同类型的探针及其使用方法。

1. 探针概述

探针就像是探索系统环境的“探测器”，它可以收集系统中的数据，让我们对系统的运行情况进行探索和分析。在传统的Linux中，使用探针需要编写编译成内核模块的程序，这可能会给生产系统带来灾难性问题。随着技术的发展，探针变得更加安全，但编写和测试仍然比较繁琐。而BPF借助追踪探针来收集信息进行调试和分析，其安全性使得它比依赖重新编译内核的工具更具吸引力。

探针主要分为以下四种类型：
| 探针类型 | 描述 |
| ---- | ---- |
| 内核探针 | 提供对内核内部组件的动态访问 |
| 跟踪点 | 提供对内核内部组件的静态访问 |
| 用户空间探针 | 提供对用户空间运行程序的动态访问 |
| 用户静态定义跟踪点 | 允许对用户空间运行程序的静态访问 |

2. 内核探针

内核探针允许我们在几乎任何内核指令上设置动态标志或断点，当内核执行到这些标志时，会执行附加到探针的代码，然后继续正常执行。不过，内核探针的应用二进制接口（ABI）不稳定，可能会在不同内核版本之间发生变化。

内核探针分为两种类型：
-Kprobes：允许在任何内核指令执行之前插入BPF程序。以下是一个使用Kprobes的示例代码，用于打印系统中执行的任何二进制文件的名称：