ebpf - 我可以将 eBPF 程序附加到哪些 kprobe Hook ？

Question

我正在学习 eBPF，并且我知道我可以将我的 eBPF 程序附加到 kprobes、uprobes、tracepoint 等。我看到/sys/kernel/debug/tracing/events/下有一个跟踪点列表，我可以将 eBPF 程序附加到其中。但是，如何找到可以侵入哪些 kprobe 函数(例如 TCP 相关函数)？另外，如何找到这些函数签名？

谢谢。

Answer 1

您可以将 kprobe 附加到内核的几乎所有函数(前提是它们在编译内核时尚未内联)。列出这些函数的一种方法是通过 cat/proc/kallsyms。在您的情况下，在该文件上 grep for tcp ？至于签名，我认为除了阅读内核源代码适合您的内核版本之外，没有其他地方可以获得它们。

请注意，由于内核函数不是用户 API 的一部分，因此无法保证其签名的稳定性(这可能是签名列表毫无意义的原因 - 除了大量签名之外)列出)。如果你希望你的 eBPF 程序在不同内核版本之间更加健壮和可移植，你应该看看 CO-RE .