将 eBPF 连接到 KPROBE？

我写了一个简单的程序附加到execve使用 kprobe 进行系统调用，但我看不到相关输出。

这是我的 one.c（BPF 程序）：

#include <errno.h>
#include <bpf/bpf.h>
#include <stdio.h>
#include <string.h>

#include "bpf_load.h"
#include "bpf_util.h"
#include "libbpf.h"

#define SEC(NAME) __attribute__((section(NAME), used))

SEC("kprobe/execve")
int bpf_prog1(struct pt_regs *ctx)
{
        char m[]="hello world";
        bpf_trace_printk(m,sizeof(m));
        
        return 0;
}

char _license[] SEC("license") = "GPL";

bpf_load.c（用户空间加载器）：

#include "bpf_load.h"
#include <stdio.h>

#include <linux/bpf.h>
#include <sys/resource.h>

int main(int argc, char **argv) {
    if (load_bpf_file("one.o")) {
        printf("%s", bpf_log_buf);
        return 1;
    }
    return 0;
}

和生成文件：

CLANG = clang

EXECABLE = monitor-exec

BPFCODE = one

BPFTOOLS = /kernel-src/samples/bpf
BPFLOADER = $(BPFTOOLS)/bpf_load.c

INCLUDE += -I/kernel-src/samples/bpf
INCLUDE += -I/kernel-src/tools/lib

CCINCLUDE += -I/kernel-src/tools/testing/selftests/bpf
CCINCLUDE += -I/kernel-src/tools/lib/bpf
CCINCLUDE += ${INCLUDE}

LOADINCLUDE += -I/kernel-src/tools/include
LOADINCLUDE += -I/kernel-src/tools/perf
LOADINCLUDE += ${INCLUDE}
LIBRARY_PATH = -L/usr/local/lib64
BPFSO = -lbpf

.PHONY: clean bpfload build

clean:
    rm -f *.o *.so $(EXECABLE)

build: ${BPFCODE.c} ${BPFLOADER}
    $(CLANG) -O2 -DHAVE_ATTR_TEST=0 -target bpf -c $(BPFCODE:=.c) $(CCINCLUDE) -o ${BPFCODE:=.o}

bpfload: build
    clang -o $(EXECABLE) -DHAVE_ATTR_TEST=0  -lelf $(LOADINCLUDE) $(LIBRARY_PATH) $(BPFSO) \
        $(BPFLOADER) loader.c

$(EXECABLE): bpfload

.DEFAULT_GOAL := $(EXECABLE)

到目前为止，我没有从 Makefile 中收到任何错误。

当我执行时，我得到以下输出./monitor-exec

invalid relo for insn[6].code 0x85
bpf_load_program() err=22
last insn is not an exit or jmp
processed 0 insns (limit 1000000) max_states_per_insn 0 total_states 0 peak_states 0 mark_read 0
last insn is not an exit or jmp
processed 0 insns (limit 1000000) max_states_per_insn 0 total_states 0 peak_states 0 mark_read 0

我无法理解我做错了什么。我只是附加一个 kprobe 并且应该打印hello world当该系统调用发生时。

在您的 eBPF 程序中：

#include <errno.h>
#include <bpf/bpf.h>
#include <stdio.h>
#include <string.h>

#include "bpf_load.h"
#include "bpf_util.h"
#include "libbpf.h"

#define SEC(NAME) __attribute__((section(NAME), used))

SEC("kprobe/execve")
int bpf_prog1(struct pt_regs *ctx)
{
        char m[]="hello world";
        bpf_trace_printk(m,sizeof(m));
        
        return 0;
}

You use bpf_trace_printk()正确（尽管您可能想添加\n在消息末尾，否则您的输出会很混乱），但事实证明您包含的文件都不包含此帮助程序的定义。

bpf_trace_printk()被编译为内核的一部分，并且永远不会被编译到您的 BPF 目标文件中。当尝试加载您的程序时，该函数load_bpf_file()执行重定位步骤，将number关联到bpf_trace_printk()（在用户API中）在eBPF字节码的相关指令中。

但它需要在某个地方找到这个数字。它在头文件中定义linux/bpf.h（从您的几个包含中提取）作为FN(trace_printk)（一些宏观魔法正在发生），结果de facto in a #define BPF_FUNC_trace_prink 6。但是你需要告诉你的加载函数它对应于bpf_trace_prink()你打电话来了！

两种解决方案：

• 手动声明它：

  static int (*bpf_trace_printk)(const char *fmt, int fmt_size, ...) =
          (void *) BPF_FUNC_trace_printk;
  

• 或者添加包含它的标头，例如内核存储库中的tools/lib/bpf/bpf_helpers.h。在你的情况下：

  #include <bpf/bpf_helpers.h>
  

  （请注意，此标头是生成的 https://git.kernel.org/pub/scm/linux/kernel/git/torvalds/linux.git/tree/tools/lib/bpf/Makefile?h=v5.7#n185编译 libbpf 时，默认情况下它不存在于存储库中。）