ebpf-probes

eBPF 探针类型：kprobe、tracepoint、uprobe、fentry 与挂载点

补充说明

eBPF 程序本身只是字节码，必须挂到探针或钩子上才有事件来源。常见类型：kprobe/kretprobe（内核函数）、tracepoint（内核静态埋点）、uprobe/uretprobe（用户态函数）、USDT（用户态静态探针）、fentry/fexit（基于 BTF 的函数入口/返回，5.5+）、perf_event（采样），以及 XDP/tc/cgroup/LSM 等数据面钩子。

• 内核：eBPF 自 3.18；kprobe 挂 eBPF 自 4.1；fentry/fexit 需要 5.5+ 和 BTF；ring buffer 5.8+。
• BTF：/sys/kernel/btf/vmlinux 存在才方便使用 CO-RE、fentry 和结构化读取内核类型。
• 权限：root 或 CAP_BPF + CAP_PERFMON（5.8+ 能力拆分）；kernel.unprivileged_bpf_disabled 通常禁止非特权 BPF。
• 容器：需要相应 capability、允许 bpf() 的 seccomp、可用的 tracefs/BTF，且程序作用于宿主内核；K8s 中通常是特权 DaemonSet。
• 开销：kprobe 基于断点/陷阱，命中频繁时开销高于 tracepoint/fentry；打印到用户态比 map 聚合更贵。

常用示例

# 确认内核 BTF 与 eBPF 能力
ls -l /sys/kernel/btf/vmlinux
sudo bpftool feature probe | head -30

# 列出可用的 kprobe 与 tracepoint
sudo bpftrace -l 'kprobe:vfs_*' | head
sudo bpftrace -l 'tracepoint:syscalls:sys_enter_*' | head

# 用 kprobe 统计 vfs_read 调用次数（按进程聚合，避免逐条打印）
sudo bpftrace -e 'kprobe:vfs_read { @[comm] = count(); }'

# 用 tracepoint 读取 openat 的文件名，稳定性和可移植性更好
sudo bpftrace -e 'tracepoint:syscalls:sys_enter_openat { printf("%s %s\n", comm, str(args->filename)); }'

# fentry 需要 5.5+ 与 BTF，开销通常低于 kprobe
sudo bpftrace -e 'fentry:vfs_read { @reads[comm] = count(); }'

选探针时优先 tracepoint；没有合适 tracepoint 再用 fentry/fexit；最后才用 kprobe，并尽量在 map 中聚合。

易错点与排错

• 探针不触发：目标函数可能被内联、编译时优化掉，或属于 NOKPROBE_SYMBOL/notrace 路径；同时 kprobe 函数名会随内核版本变化，换 tracepoint 或改挂调用者更稳。
• fentry/fexit 报错找不到 BTF：内核未开 CONFIG_DEBUG_INFO_BTF，或 /sys/kernel/btf/vmlinux 不存在；老内核只能用 kprobe。
• eBPF verifier 拒绝加载：常见原因是无界循环、栈超过 512 字节、helper 用错；看 verifier log，有界循环从 5.3 才支持。
• 字符串不能直接当 C 字符串读；用 str()、bpf_probe_read_kernel()/bpf_probe_read_user()（老内核只有 bpf_probe_read()），否则可能读到错误地址或被拒绝。
• 高频探针逐条 printf 会淹没系统；先在 map 里计数/直方图聚合，或只对目标 PID/CPU 采样。
• 容器里 root 也可能失败：seccomp 拦截 bpf()、缺少 CAP_BPF、/sys 只读、tracefs 未挂载；先看 bpftool feature probe 和 capsh --print。
• Secure Boot/lockdown 会限制 kprobe 和 BPF；dmesg | grep -i lockdown 可确认。
• uprobe 需要可执行文件路径和符号/偏移；strip 过的二进制没有符号，需用偏移或在带符号的构建上做。

读完自测

1. tracepoint、fentry、kprobe 三者的稳定性与开销如何取舍？
2. 为什么 kprobe 有时完全不触发？
3. 容器里 root 为什么仍可能加载 eBPF 失败？

相关条目

• bpftrace
• bpftool
• bcc-tools
• perf
• ftrace