在 eBPF 中取被调用函数的名称

Question

我想跟踪特定 PID 的函数并收集一些统计信息（总调用次数、总时间等），但我并不完全清楚如何使用 funcname+my_struct 对创建 BPF_HASH。

有什么方法可以获取BPF程序中被调用函数的名字吗？

我想我应该使用“PT_REGS_IP(ctx)”读取 IP 寄存器，但我不完全理解如何将值转换为人类可读的字符串。

目前 BPF 程序如下所示：

#include <uapi/linux/ptrace.h>
#include <linux/sched.h>

struct data_t {
    u32 pid;
    u64 delta;
    u64 start;
} __attribute__((packed));

BPF_HASH(faddr, u64, struct data_t);
BPF_PERF_OUTPUT(events);

int do_entry(struct pt_regs *ctx) {
    struct data_t *data;
    data->start = bpf_ktime_get_ns();
    u64 ip = PT_REGS_IP(ctx);
    faddr.update(&ip, data);

    return 0;
}

int do_return(struct pt_regs *ctx) {
    struct data_t *data;
    u64 ip = PT_REGS_IP(ctx);
    data = faddr.lookup(&ip);

    if (data->start == 0)
        return 0;       // missed start

    data->delta = bpf_ktime_get_ns() - data->start;
    data->pid = bpf_get_current_pid_tgid();

    events.perf_submit(ctx, &data, sizeof(data));
    faddr.delete(&ip);

    return 0;
}

但在启动时我得到了：

error: <unknown>:0:0: in function do_entry i32 (%struct.pt_regs*): A call to built-in function 'abort' is not supported.

Answer 1

您的do_entry 函数中有错误。您正在尝试取消引用空指针：

struct data_t *data;
data->start = bpf_ktime_get_ns();

以下应该会更好：

int do_entry(struct pt_regs *ctx) {
    struct data_t data = {}; // initializes data with zeros.
    data.start = bpf_ktime_get_ns();
    u64 ip = PT_REGS_IP(ctx);
    faddr.update(&ip, &data);
    return 0;
}

我不明白为什么错误消息提到abort。我去问问。

---

如何将内存地址翻译成函数名称取决于您使用的用户空间库。如果您使用密件抄送，可以使用ksym 方法。我不知道gobpf中是否有等价物。

---

do_return 中至少还有一个错误：

data = faddr.lookup(&ip);
if (data->start == 0)
    return 0;       // missed start

在取消引用之前，您需要检查 data 是否为空。否则，验证者将拒绝您的程序。

data = faddr.lookup(&ip);
if (!data || data->start == 0)
    return 0;       // missed start