【BPF入门系列-11】使用 eBPF 技术跟踪 Netfilter 数据流过滤结果
1. 网络层数据流向与 Netfilter 体系 图 1-1 为网络层内核收发核心流程图，在函数流程图中我们可以看到 Netfliter 在其中的位置（图中深色底纹圆角矩形）。图中对应的 hook 点有 5 个，每个hook 点中保存一组按照优先级排序的函数列表： NF_IP_PREROUTING：接收到的包进入协议栈后立即触发此 hook 中注册的对应函数列……
使用 Go 语言管理和分发 ebpf 程序
1. Go 语言管理 eBPF 程序库 1.1 cilium/ebpf cilium/ebpf 库是 Cilium 项目的一个子项目。仅使用 Go 语言编写的库，提供了加载、编译和调试 eBPF 程序的功能。它具有最小的外部依赖性，适合在长期运行的进程中使用。库主要有由 Cloudflare 和 Cilium 两家公司维护，由于 Cilium 产品的火爆程度，该库的活跃度在社区层面还是会持续演进和发展。 cilium/ebpf 已经满足生产可用，但 API……
Ubuntu 20.04 Kdump + Crash 初体验
1. Kdump 工作原理介绍 内核崩溃转储指的是在内核异常情况时，将 RAM 中部分内容进行转储到磁盘或者其他存储中。当内核发生 panic 时，内核依靠 kexec 机制在预先保留的内存区域快速重启一个新的内核实例，预留内存区域大小可通过内核启动参数 crashkernel 指定。 为了实现 “双内核” 布局，Kdump 在内核崩溃后立即使用 kexec 引导到转储……
来来，让我看看你究竟在干什么？
1. 系统的线程栈跟踪（内核） 在某些特殊场景中，我们可能会遇到偶发系统内核 CPU 抖动，这时候我们可能需要知晓动时刻内核中的所有运行任务的一个快照，这种场景下 sysrq 可以完全满足我们的需求。 如果只是需要分析系统的热点路径，perf 会是一个比较好的选择。 1.1 sysrq 是什么？ sysrq 代表的是 Magic System Request Key。开启了该……
Linux 进程管理
本文是技术团队内部分享的版本，目的是通过进程管理及调度器历史对于 Linux 进程管理的演进过程起到一个总览的作用，完整的 PDF 可以在这里 下载。水平有限，本文内容仅供参考，有错误欢迎指正。 1. 基础知识 进程类型 实时进程 非实时进程 CPU 资源占用类型 CPU 消耗性 （CPU-Bound） I/O 消耗性 （IO-Bound)……
BCC 到 libbpf 的转换指南【译】
[TOC] 译者注： BPF CO-RE 项目在未来将会是非常流行的技术，其让 BPF 编写的工具能够像用户编写的其他程序一样进行二进制分发，不再需要目标机器在 BCC 框架下的 llvm/clang/linux-dev 等包的安装，并且可以跨越不同版本的内核。唯一的要求是需要运行的程序的内核采用了支持 CONFIG_DEBUG_INFO_BTF 内核编译选项，可喜的是当前不少 Linux 发行版已经内置该参数编译，比……
【BPF入门系列-10】使用 tracepoint 跟踪文件 open 系统调用
1. 什么是 tracepoint tracepoint 的介绍可以参见 Kernel 文档这里。从 Linux 内核 4.7 开始，eBPF 程序可以挂载到内核跟踪点 tracepoint。在此之前，要完成内核中函数跟踪的工作，只能用 kprobes/kretprobe 等方式挂载到导出的内核函数（参见 /proc/kallsyms），正如我们前几篇文章跟踪 open 系统调用方式那样。尽管 kprobes 可以达到跟踪的……
【BPF入门系列-9】文件打开记录结果跟踪篇
1. 前言 在上篇文章中我们为文件 open系统调用采用了 perf_event 的方式将数据从内核上报至用户程序。但是到目前为止，我们只是实现了文件打开记录的跟踪，并没有对文件访问的结果是成功还是失败进行展示。 与 kprobe 相对应的 kretprobe 实现可以帮助我们获取到 sys_open 函数的返回值。为了拿到 sys_open 系统调用的详细信息和返回结果，我们需……
【BPF入门系列-8】文件打开记录跟踪之 perf_event 篇
1. ebpf_perf_output 介绍 在上一篇 ”使用 ebpf 实时持续跟踪进程文件记录“ 中，我们简单介绍了使用 eBPF 跟踪文件打开记录的跟踪。为了简单演示功能，我们直接使用了 bpf_trace_printk 进行演示，正如上文所述，bpf_trace_printk 存在一些限制： 最大只支持 3 个参数，而且只运行一个 %s 的参数； 程序共享输出共享 /sys/kernel/debug/tracing/trace_pipe 文件，可能导致文……
【BPF入门系列-7】使用 ebpf 实时持续跟踪进程文件记录
本文主要用于演示基于 ebpf 技术来实现对于系统调用跟踪和特定条件过滤，实现基于 BCC 的 Python 前端绑定，过程中对于代码的实现进行了详细的解释，可以作为学习 ebpf 技术解决实际问题的参考样例。 1. 样例代码 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 #include <stdio.h> #include <unistd.h> int main() { FILE *fp; char buff[255]; printf("Pid %d\n", getpid()); fp = fopen("./hello.c", "r"); fscanf(fp, "%s", buff); printf("Read: [%s]\n", buff ); getchar(); fclose(fp); return 0; } fopen 函数……