5 内核探测 #

Kprobe 可附加到 Linux 内核中的任何指令。注册 Kprobe 后，它会在所探测指令的第一个字节处插入一个断点。当处理器命中此断点时，将保存处理器注册，然后由 Kprobe 接管后续处理。首先执行一个前处理程序，然后执行所探测的指令，最后执行一个后处理程序。随后，控制权将传递给探测点后面的指令。

Jprobe 是通过 Kprobe 机制实施的。它将插入到函数的入口点，允许直接访问正在探测的函数的参数。其处理程序例程的参数列表与返回值必须与所探测函数相同。要结束 Jprobe，请调用 jprobe_return() 函数。

命中某个 jprobe 后，将保存处理器注册，并将指令指针定向到 jprobe 处理程序例程。然后，控制权将传递给与所要探测函数具有相同注册内容的处理程序。最后，该处理程序调用 jprobe_return() 函数，并将控制权切回给控制函数。

一般情况下，您可以在一个函数中插入多个探测。但是，Jprobe 仅限每个函数一个实例。

返回探测也是通过 Kprobe 实施的。调用 register_kretprobe() 函数时，会将一个 kprobe 附加到所探测函数的入口。命中探测后，内核探测机制将保存所探测函数的返回地址，并调用用户定义的返回处理程序。然后，控制权将传回给所探测的函数。

在调用 register_kretprobe() 之前，需要设置一个 maxactive 参数，用于指定可以同时探测多少个函数实例。如果设置值太小，您会错过某些探测。

所有当前已注册探测的列表位于 /sys/kernel/debug/kprobes/list 文件中。

saturn.example.com:~ # cat /sys/kernel/debug/kprobes/list
c015d71a  k  vfs_read+0x0   [DISABLED]
c011a316  j  do_fork+0x0
c03dedc5  r  tcp_v4_rcv+0x0

第一列列出探测所要插入到的内核中的地址。第二列列显探测的类型：k 表示 kprobe，j 表示 jprobe，r 表示返回探测。第三列指定探测的符号、偏移和可选模块名称。后面的可选列包含探测的状态信息。如果探测插入到不再有效的虚拟地址，将以 [GONE] 标记。如果探测被暂时禁用，将以 [DISABLED] 标记。

/sys/kernel/debug/kprobes/enabled 文件表示一个开关，可用于全局以及强制性打开或关闭所有已注册的内核探测。要关闭这些探测，只需在命令行中输入

# echo "0" > /sys/kernel/debug/kprobes/enabled

（以 root 身份）。要再次打开这些探测，请输入

# echo "1" > /sys/kernel/debug/kprobes/enabled

请注意，这不会更改探测的状态。如果某个探测被暂时禁用，在输入后一条命令之后，该探测不会自动启用，而是保持 [DISABLED] 状态。