14、动态Kprobes和eBPF工具的调试与追踪

动态Kprobes和eBPF工具的调试与追踪

1. 动态Kprobe的设置

1.1 可探测函数的条件

要动态设置Kprobe，被探测的函数需要满足以下条件之一：
- 存在于内核全局符号表中（可通过 /proc/kallsyms 查看）
- 存在于ftrace框架的可用函数列表中（路径为 <debugs_mount>/tracing/available_filter_functions ）

若被探测函数在内核模块中，当模块加载到内核内存后，其符号会成为内核符号表的一部分，可通过 /proc/kallsyms 查看（需以root权限）。

1.2 设置动态Kprobe的步骤

1.2.1 初始化动态探测点

# 尝试进入该目录
cd /sys/kernel/debug/tracing
# 若上述操作失败（如生产内核中debugfs不可见或ftrace被禁用），则使用以下命令
cd /sys/kernel/tracing
# 设置动态Kprobe
echo "p:<kprobe-name> <function-to-kprobe> […]" >> kprobe_events

其中， p: 表示设置动态Kprobe， kprobe-name 是自定义的探测名称（若不指定则默认为函数名）， functi