Kprobes 是 Linux 中的輕量級裝置，可以將斷點插入到正在運行的內(nèi)核之中。Kprobes 可以地收集處理器寄存器和全局?jǐn)?shù)據(jù)結(jié)構(gòu)等調(diào)試信息。甚至可以使用 Kprobes 來修改 寄存器值和全局?jǐn)?shù)據(jù)結(jié)構(gòu)的值。

Kprobes 向運行的內(nèi)核中給定地址寫入斷點指令，插入一個探測器。 執(zhí)行被探測的指令會導(dǎo)致斷點錯誤。Kprobes 鉤住（hook in）斷點處理器并收集調(diào)試信息。Kprobes 甚至可以單步執(zhí)行被探測的指令。

內(nèi)核編譯中開啟CONFIG_KPROBE_EVENTS=y.即可動態(tài)添加kprobe。

?

1.???工作原理

用戶指定一個探測點，并把一個用戶定義的處理函數(shù)關(guān)聯(lián)到該探測點，當(dāng)內(nèi)核執(zhí)行到該探測點時，相應(yīng)的關(guān)聯(lián)函數(shù)被執(zhí)行，然后繼續(xù)執(zhí)行正常的代碼路徑。

kprobe實現(xiàn)了三種類型的探測點: kprobes, jprobes和kretprobes (也叫返回探測點)。?kprobes是可以被插入到內(nèi)核的任何指令位置的探測點，jprobes則只能被插入到一個內(nèi)核函數(shù)的入口，而kretprobes則是在指定的內(nèi)核函數(shù)返回時才被執(zhí)行。

l?????安裝一個kprobes探測點，kprobe先備份被探測的指令，然后使用斷點指令來取代被探測指令的頭一個或幾個字節(jié)。

l?????當(dāng)執(zhí)行到探測點時，將因運行斷點指令而執(zhí)行trap操作，保存CPU的寄存器，調(diào)用相應(yīng)的trap處理函數(shù)。

l?????trap處理函數(shù)將調(diào)用相應(yīng)的notifier_call_chain中注冊的所有notifier函數(shù)，kprobe正是通過向trap對應(yīng)的notifier_call_chain注冊關(guān)聯(lián)到探測點的處理函數(shù)來實現(xiàn)探測處理的。

l?????首先執(zhí)行關(guān)聯(lián)到探測點的pre_handler函數(shù)，并把相應(yīng)的kprobe struct和保存的寄存器作為該函數(shù)的參數(shù)，最后kprobe執(zhí)行post_handler。等所有這些運行完畢后，最后緊跟在被探測指令后的指令流。

如下圖：

?

2.???kprobe初始化

kprobes作為一個模塊，其初始化函數(shù)為init_kprobes，代碼路徑kernel/kprobes.c

?

3.???通過ftrace接口使用

可以通過

/sys/kernel/debug/tracing/kprobe_events,

原文鏈接

總結(jié)

以上是生活随笔為你收集整理的Linux中动态探针kprobes的全部內(nèi)容，希望文章能夠幫你解決所遇到的問題。

如果覺得生活随笔網(wǎng)站內(nèi)容還不錯，歡迎將生活随笔推薦給好友。