bpftrace简介示例

一. bpftrace是什么& 怎么安装

bpftrace 是 BPF 跟踪的高级前端，它使用了 bcc 的库。
git链接

https://github.com/bpftrace/bpftrace

系统信息

[root@oe2203sp1-lts ~]# cat /etc/openEuler-latest
openeulerversion=openEuler-22.03-LTS-SP1
compiletime=2022-12-27-22-15-04
gccversion=10.3.1-20
kernelversion=5.10.0-136.12.0.86.oe2203sp1
openjdkversion=1.8.0.352.b08-3.oe2203sp1

安装

yum install bpftrace -y 

二.bpftrace语法是什么

语法和awk类似
// 这些换行不是必须的
/采用与 C 语言类似的注释/

BEGIN{
  // 开始时执行一次的代码
}
probe/filter/ {
  // 事件与 prob 和 filter 匹配时执行
}
END{
  // 结束时执行
}


bpftrace 的语法：
probe/filter/ {
   actions;
}

示例1

bpftrace -e 'BEGIN{printf("Hello, World!\n");}END{printf("Bye, World!\n")}'
Attaching 2 probes...
Hello, World!

Bye, World!

三.运行 bpftrace 脚本有两种不同的方式：

bpftrace -e ‘cmds’ 执行单行指令；
bpftrace filename 执行脚本文件；

易读1

利用 shell 换行：
[root@localhost ~]# bpftrace -e '

BEGIN{
printf("Hello, World!\n");
}

END{
printf("Bye, World!\n");
}'
在脚本尾部的单引号之前，按照需要换行即可。

易读2：文件中

// hello.bt
// 这是一段注释
/* 这是另一种注释 */

BEGIN{
    printf("Hello, World!\n");
}

END{
    printf("Bye, World!\n");
}

保存为 hello.bt，这看起来就更像一般的脚本文件了，可以这样让它运行起来：

[root@localhost ~]# bpftrace hello.bt

bpftrace 来说，它只接受了 2 个参数：

'-e'；
一个包含所有指令的字符串；

---

四.eBPF 支持哪些探针？

bpftrace -l

-------------------------
[root@localhost ~]# bpftrace -l  | wc -l 
82013
[root@localhost ~]# bpftrace -l  | awk -F ":" '{print $1}' | sort | uniq -c
     10 hardware
      2 iter
  35083 kfunc
  45102 kprobe
     11 software
   1805 tracepoint

bpftrace 约有 82013 个探针，其中包含：

hardware
iter
kfunc
kprobe
software
tracepoint

---

五. 实践

打印hello

bpftrace -e 'BEGIN {printf("hello world\n");}'
Attaching 1 probe...
hello world

查看函数

bpftrace -l | grep vfs_read
kfunc:vfs_read
kfunc:vfs_readlink
kprobe:vfs_read
kprobe:vfs_readlink
kprobe:vfs_readv

kprobe 与kretprobe成对

打印pid comm

bpftrace -e 'kprobe:vfs_read {printf("pid = %d, comm = %s\n",pid,comm);}'

间隔2秒打印

bpftrace -e 'kprobe:vfs_read {@ID = pid}  interval:s:2 {printf("pid = %d, comm = %s\n",@ID,comm);}'

bpftrace -e 'interval:s:1 {time()}'  -- 每一秒打印一次时间

bpftrace -e 'interval:ms:1 {time()}' -- 每一毫秒打印一次时间

作者：心远气自静
链接：https://www.jianshu.com/p/8c835b083582
来源：简书
著作权归作者所有。商业转载请联系作者获得授权，非商业转载请注明出处。

退出时打印

bpftrace -e 'kprobe:vfs_read {@ID = pid}'


bpftrace -e 'kprobe:vfs_read {@Start[pid] = nsecs} kretprobe:vfs_read {@ns[comm] = nsecs - @Start[pid]; delete(@Start[pid]) }'
// 探针 定义一个数组 Start[pid] 获取时间 nsecs纳秒 内置变量  

bpftrace -e 'kprobe:vfs_read {@Start[pid] = nsecs} kretprobe:vfs_read /@Start[pid] / {@ns[comm] = nsecs - @Start[pid]; delete(@Start[pid]) }' 
// 当 /@Start[pid] /为真时执行后边

用户态

cat add.c

#include <stdio.h>


int a =1,b=2;

int add(int x,int y)
{
        return x+y;
}

int main()
{
        int z;
        z = add(a,b);
        printf("z=%d\n",z);
        return 0;
}

打印/root/a.out 进程号

bpftrace -e 'uprobe:/root/a.out:add {printf("ID  = %d\n",pid);}'

打印add函数的参数x arg0 是个地址

bpftrace -e 'uprobe:/root/a.out:add {printf("argv[1]  = %d\n",arg0);}'

第二个参数存到a2中退出时打印

bpftrace -e 'uprobe:/root/a.out:add {@a2=arg1}'

多探针

bpftrace -e 'kprobe:vfs_read,kprobe:vfs_readv {@ID = pid}'

打印文件名

查看参数
bpftrace -lv tracepoint:syscalls:sys_enter_openat
tracepoint:syscalls:sys_enter_openat
    int __syscall_nr
    int dfd
    const char * filename
    int flags
    umode_t mode

bpftrace -e 'tracepoint:syscalls:sys_enter_openat { printf("%s %s\n", comm, str(args->filename)); }'

先看下vfs_read的函数入参

ssize_t vfs_read(struct file *file, char __user *buf, size_t count, loff_t *pos)
{
-------------------------
struct file {
   ...
   struct path     f_path;
       ...
           struct path {
         ...
           struct dentry *dentry;
             ...
                   struct dentry {
               ...
                   struct qstr d_name;
                   ...
                           struct qstr {
                         ...
                         const unsigned char *name;

bpftrace --include linux/path.h --include linux/dcache.h   -e 'kprobe:vfs_open { printf("open path: %s\n", str(((struct path *)arg0)->dentry->d_name.name)); }'

参考

https://blog.csdn.net/qq_40711766/article/details/123382244