零基础快速开发eBPF程序-平芜编程栈

eBPF（extended Berkeley Packet Filter）是Linux内核中的一项革命性技术，允许开发者在不修改内核源码的情况下安全运行沙盒化程序。对于零基础开发者，使用BCC框架是最简单的入门方式。以下是详细的开发步骤：

一、环境准备

系统要求：

Linux内核版本4.1+（推荐5.15+或6.2+）
Ubuntu 20.04或更新版本（或类似发行版）

安装必要工具：

sudo apt update sudo apt install -y git build-essential libelf-dev zlib1g-dev llvm clang

安装BCC工具集：

sudo apt install -y bcc-tools libbcc-examples

提示：BCC是BPF编译器集合，提供了Python接口，简化了eBPF开发流程。

二、开发第一个eBPF程序

步骤1：编写eBPF程序（hello.c）

创建一个名为hello.c的文件，输入以下内容：

#include <linux/bpf.h> #include <bpf/bpf_helpers.h> int hello_world(void *ctx) { bpf_trace_printk("Hello, World!"); return 0; }

关键说明：

bpf_trace_printk()是eBPF中常用的辅助函数，用于输出调试信息
与普通程序不同，eBPF程序输出到内核调试文件/sys/kernel/debug/tracing/trace_pipe

步骤2：编写用户态程序（hello.py）

创建一个名为hello.py的文件，输入以下内容：

#!/usr/bin/env python3 from bcc import BPF # 1) 加载BPF程序 b = BPF(src_file="hello.c") # 2) 挂载kprobe到系统调用openat2 b.attach_kprobe(event="do_sys_openat2", fn_name="hello_world") # 3) 读取并打印内核调试输出 print("Tracing... Hit Ctrl+C to end.") b.trace_print()

关键说明：

BPF(src_file="hello.c")加载eBPF程序
attach_kprobe()将程序挂载到内核探针（kprobe）
trace_print()读取并打印内核调试输出

步骤3：运行程序

sudo python3 hello.py

程序开始运行后，每当有进程调用openat2系统调用（如打开文件），就会在终端输出"Hello, World!"。

三、理解工作原理

BCC的作用：BCC将eBPF程序的编译、加载和管理过程抽象化，提供Python接口
eBPF执行流程：

BCC调用LLVM将C代码编译为BPF字节码
将字节码加载到内核中
通过kprobe等机制触发执行
输出结果通过/sys/kernel/debug/tracing/trace_pipe返回

四、进阶实践

1. 监控系统调用

修改hello.c，添加系统调用监控功能：

#include <linux/bpf.h> #include <bpf/bpf_helpers.h> #include <linux/ptrace.h> #include <linux/sched.h> BPF_HASH(counts, u32, u64); int trace_sys_enter(void *ctx) { u32 pid = bpf_get_current_pid_tgid() >> 32; u64 zero = 0, *p; p = counts.lookup_or_init(&pid, &zero); (*p)++; return 0; }

2. 运行监控程序

from bcc import BPF b = BPF(text=""" #include <linux/bpf.h> #include <bpf/bpf_helpers.h> #include <linux/ptrace.h> #include <linux/sched.h> BPF_HASH(counts, u32, u64); int trace_sys_enter(void *ctx) { u32 pid = bpf_get_current_pid_tgid() >> 32; u64 zero = 0, *p; p = counts.lookup_or_init(&pid, &zero); (*p)++; return 0; } """) b.attach_kprobe(event="sys_enter", fn_name="trace_sys_enter") while True: try: for k, v in b["counts"].items(): print("PID {}: {}".format(k.value, v.value)) b["counts"].clear() sleep(2) except KeyboardInterrupt: exit()