Linux如何使用BPF开发观测工具_LinuxeBPF探针开发教程

舞姬之光

发布： 2025-11-25 19:11:02

原创

762人浏览过

eBPF是Linux内核级运行时编程框架，可安全插入探针实现系统观测。通过kprobe、uprobe、tracepoint等机制，开发者能监控函数调用、系统调用耗时、内存分配及TCP状态变化。使用BCC工具可用Python快速开发原型，如跟踪openat调用；而生产环境推荐libbpf+CO-RE模式，以C语言编写、编译为BPF对象并加载执行，支持跨内核版本部署。常用探针包括kprobe（内核函数入口）、kretprobe（返回值捕获）、uprobe（用户空间函数）和tracepoint（稳定低开销接口），结合maps实现数据用户态交互，构建高效观测工具。

linux如何使用bpf开发观测工具_linuxebpf探针开发教程

在Linux系统中，BPF（Berkeley Packet Filter）早已超越最初的网络包过滤用途，演变为一个强大的内核级运行时编程框架。通过eBPF，开发者可以在不修改内校代码的前提下，安全地插入探针、收集性能数据、监控系统调用、追踪函数执行等。本文将带你了解如何使用BPF开发基本的系统观测工具。

理解eBPF与观测工具的基础

eBPF允许用户编写一段受限制的C代码，在特定内核事件触发时运行。这些事件包括函数入口/出口（kprobe/uprobe）、定时器、tracepoint、USDT探针等。程序编译后由内核验证安全性，再加载到内核空间执行，结果可通过映射（map）传回用户态进行处理。

常见观测场景包括：

监控某个内核函数被调用的频率
统计进程系统调用耗时
跟踪内存分配行为
分析TCP连接状态变化

要实现这些功能，你不需要重启系统或加载内核模块，只需借助现代工具链如BCC或libbpf + CO-RE即可。

使用BCC快速开发观测脚本

BCC（BPF Compiler Collection）是一套高层工具集，封装了编译、加载、映射交互等复杂流程，适合快速构建Python+eBPF的观测工具。

安装BCC（以Ubuntu为例）：

apt-get install bpfcc-tools linux-headers-$(uname -r)

示例：监控openat系统调用次数

from bcc import BPF

eBPF程序

bpf_code = """ int trace_openat(struct pt_regs *ctx) { bpf_trace_printk("openat called\n"); return 0; } """

加载并附加到uprobe

b = BPF(text=bpf_code) b.attach_kprobe(event="sys_openat", fn_name="trace_openat")

打印内核日志

print("Tracing openat... Hit Ctrl-C to end.") try: while True: try: event = b.trace_readline() print(event) except KeyboardInterrupt: break except: pass

这段代码通过kprobe挂接到sys_openat函数入口，每次调用都会打印一行日志。bpf_trace_printk是简单的调试输出方式，适用于原型验证。

使用libbpf和CO-RE构建生产级工具

对于更复杂的场景，推荐使用C语言配合libbpf和CO-RE（Compile Once – Run Everywhere）模型。这种方式生成的程序独立于内核版本，更适合部署。

Clipfly

一站式AI视频生成和编辑平台，提供多种AI视频处理、AI图像处理工具。

129

查看详情

基本步骤如下：

编写带SEC段声明的C程序（.bpf.c）
使用clang编译为ELF对象文件
在用户态C程序中用libbpf加载并管理生命周期
通过maps交换数据，例如perf buffer或hash map

示例片段：统计read调用次数

// trace_read.bpf.c #include "vmlinux.h" #include

SEC("kprobe/sys_read") int handle_entry(void *ctx) { __u64 pid_tgid = bpf_get_current_pid_tgid(); bpf_printk("read called by PID: %d\n", pid_tgid >> 32); return 0; }

char LICENSE[] SEC("license") = "GPL";

编译：

clang -O2 -target bpf -c trace_read.bpf.c -o trace_read.bpf.o

然后使用libbpf在宿主程序中加载该对象，并attach探针。