linux - 在 Linux 中使用 USDT 探针 (Dtrace) 获取 BPF 程序

Question

所以我正在关注这个 link将 BPF 程序附加到用户空间探测器，Dtrace 格式(请参阅用户静态定义的跟踪点部分)。

C 程序:

#include <sys/sdt.h>
int main() {
    DTRACE_PROBE("hello-usdt", "probe-main");
}

确保包含探测信息的检查:

readelf -n hello_usdt
  stapsdt              0x00000033   NT_STAPSDT (SystemTap probe descriptors)
    Provider: "hello_usdt"
    Name: "probe-main"
    Location: 0x0000000000400535, Base: 0x00000000004005d4, Semaphore: 0x0000000000000000
    Arguments: 

还有 tplist:

sudo /usr/share/bcc/tools/tplist -l /path/to/hello_usdt
/path/to/hello_usdt "hello_usdt":"probe-main"

BPF程序(usdt.py)的内容:

from bcc import BPF, USDT

bpf_source = """
#include <uapi/linux/ptrace.h>
int trace_binary_exec(struct pt_regs *ctx) {
  u64 pid = bpf_get_current_pid_tgid();
  bpf_trace_printk("New hello_usdt process running with PID: %d", pid);
}
"""

usdt = USDT(path = "./hello_usdt")
usdt.enable_probe(probe = "probe-main", fn_name = "trace_binary_exec")
bpf = BPF(text = bpf_source, usdt = usdt)
bpf.trace_print()

故障描述:

sudo ./usdt.py 
Traceback (most recent call last):
  File "./usdt.py", line 13, in <module>
    usdt.enable_probe(probe = "probe-main", fn_name = "trace_binary_exec")
  File "/usr/lib/python3/dist-packages/bcc/usdt.py", line 154, in enable_probe
    probe
bcc.usdt.USDTException: failed to enable probe 'probe-main';
        a possible cause can be that the probe requires a pid to enable

我也尝试过:

1. 在 BPF 程序中提供完整的可执行文件 (hello_usdt):

usdt = USDT(path = "/full/path/to/hello_usdt")

1. 将上面一行替换为 PID 值 (./hello_usdt &)，直接在 BPF 程序中获取 pid:

usdt = USDT(pid=1234)

1. 在安装 python bcc 包后尝试使用 python2.7 和 3.7。

到目前为止运气不好。非常感谢任何帮助。谢谢。

Answer 1

我想我弄清楚了原始链接中的错误。我修补了 bcc-tools 的源文件(函数 bcc_usdt_enable_probe 和更深层次)，使用一些 printfs 编译并安装了这个自定义版本以跟踪它失败的原因，结果在解析探测器列表时，我的程序中定义的探测器被视为带有附加引号的字符串，类似于:““probe-main””。所以我更换了这一行:

DTRACE_PROBE("hello-usdt", "probe-main");

与

DTRACE_PROBE("hello-usdt", probe-main);

我做的第二个改变是在 python 脚本中。我没有详细说明，但看​​起来这一行是错误的(语法):

bpf = BPF(text = bpf_source, usdt = usdt)

python 编译器提示 usdt 未知，然后我发现其他实现使用 usdt_contexts=[usdt]。所以我将上面的行替换为:

bpf = BPF(text = bpf_source, usdt_contexts = [usdt])

然后在源代码中替换了探测宏以包含一个额外的时间戳:

DTRACE_PROBE1("hello_usdt", probe-main, tv.tv_sec);

同时更新了 python 脚本:

#!/usr/bin/python3
from bcc import BPF, USDT

bpf_source = """
#include <uapi/linux/ptrace.h>
int trace_binary_exec(struct pt_regs *ctx) {
  u64 pid = bpf_get_current_pid_tgid();
  u64 ts=0;
  bpf_usdt_readarg(1, ctx, &ts);
  bpf_trace_printk("PROBE-HIT (PID: %d), TS: %lu\\n", pid, ts);
}
"""

usdt = USDT(path = "/path/to/hello_usdt")
usdt.enable_probe(probe = "probe-main", fn_name = "trace_binary_exec")
bpf = BPF(text = bpf_source, usdt_contexts = [usdt])
bpf.trace_print()

让它运行起来:

sudo ./usdt.py
b'      hello_usdt-18920 [000] .... 300066.568941: 0x00000001: PROBE-HIT (PID: 18920), TS: 1593460390'
b'      hello_usdt-18920 [000] .... 300067.569284: 0x00000001: PROBE-HIT (PID: 18920), TS: 1593460391'
b'      hello_usdt-18920 [000] .... 300068.569509: 0x00000001: PROBE-HIT (PID: 18920), TS: 1593460392'
b'      hello_usdt-18920 [000] .... 300069.569935: 0x00000001: PROBE-HIT (PID: 18920), TS: 1593460393'
b'      hello_usdt-18920 [000] .... 300070.570362: 0x00000001: PROBE-HIT (PID: 18920), TS: 1593460394'
b'      hello_usdt-18920 [000] .... 300083.574478: 0x00000001: PROBE-HIT (PID: 18920), TS: 1593460407'
b'      hello_usdt-18920 [000] .... 300084.574782: 0x00000001: PROBE-HIT (PID: 18920), TS: 1593460408'
b'      hello_usdt-18920 [000] .... 300085.575214: 0x00000001: PROBE-HIT (PID: 18920), TS: 1593460409'
b'      hello_usdt-18920 [000] .... 300086.575630: 0x00000001: PROBE-HIT (PID: 18920), TS: 1593460410'

我不知道为什么原始链接中的实现不同。可能是 BPF/Dtrace 版本的问题，没有详细说明。但是，我没有找到涵盖基于 C 的基本程序的所有步骤的其他实现，但找到了帮助我解决问题的片段。