4 SystemTap — 过滤和分析系统数据 #

每当您运行 SystemTap 脚本时，都会启动一个 SystemTap 会话。需要针对脚本传递几个参数，脚本才能运行。然后，该脚本会编译为内核模块并加载到内核中。如果以前执行过该脚本，并且任何系统组件都未更改（例如，不同的编译器或内核版本、库路径或脚本内容），SystemTap 不会再次编译该脚本，而是使用 SystemTap 缓存 (~/.systemtap) 中存储的 *.c 和 *.ko 数据。

当 tap 完成运行时，将卸载模块。有关示例，请参见第 4.2 节 “安装和设置”中的测试运行和相关说明。

由于 SystemTap 需要内核相关信息，必须安装一些额外的内核相关软件包。对于您要使用 SystemTap 探测的每个内核，需要安装下面一组软件包。这组软件包应该与内核版本和变种（在下面的概述中以 * 表明）完全匹配。

重要：包含调试信息的软件包的储存库

如果您为系统订阅了联机更新，便可以在 SUSE Linux Enterprise Server 15 SP6 相关的 *-Debuginfo-Updates 联机安装储存库中找到 “debuginfo” 软件包。使用 YaST 启用该储存库。

对于经典 SystemTap 设置，请安装以下软件包（使用 YaST 或 zypper）。

要访问手册页和用于不同目的的有用示例 SystemTap 脚本集合，另外还需安装 systemtap-docs 软件包。

要检查是否在计算机上正确安装了所有软件包以及是否已可使用 SystemTap，请以 root 身份执行以下命令。

# stap -v -e 'probe vfs.read {printf("read performed\n"); exit()}'

此命令通过运行一个脚本并返回输出，来探测当前使用的内核。如果输出类似于以下内容，则表示 SystemTap 已成功部署并可供使用：

Pass 1: parsed user script and 59 library script(s) in 80usr/0sys/214real ms.
Pass 2: analyzed script: 1 probe(s), 11 function(s), 2 embed(s), 1 global(s) in
 140usr/20sys/412real ms.
Pass 3: translated to C into
 "/tmp/stapDwEk76/stap_1856e21ea1c246da85ad8c66b4338349_4970.c" in 160usr/0sys/408real ms.
Pass 4: compiled C into "stap_1856e21ea1c246da85ad8c66b4338349_4970.ko" in
 2030usr/360sys/10182real ms.
Pass 5: starting run.
 read performed
Pass 5: run completed in 10usr/20sys/257real ms.

如果在测试期间出现了任何错误消息，请检查输出以获取有关缺少哪些软件包的提示，并确保正确安装这些软件包。另外，可能还需要重引导并加载相应的内核。

SystemTap 脚本包含以下两个组成部分：

事件及其相应的处理程序统称为 probe。SystemTap 事件也称为probe points。探测的处理程序也称为probe body。

您可以在 SystemTap 脚本中的任意位置插入不同样式的注释：使用 #、/* */ 或 // 作为标记。

probe EVENT {STATEMENTS}

probe1 begin2
{3
   printf4 ("hello world\n")5
   exit ()6
}7

probe timer.s(4)
{
   printf("hello world\n")
}

function FUNCTION_NAME(ARGUMENTS) {STATEMENTS}
probe EVENT {FUNCTION_NAME(ARGUMENTS)}

printf ("1%s2(%d3) open\n4", execname(), pid())

[...]
vmware-guestd(2206) open
held(2360) open
[...]

foo = gettimeofday( )

global count_jiffies, count_ms
probe timer.jiffies(100) { count_jiffies ++ }
probe timer.ms(100) { count_ms ++ }
probe timer.ms(12345)
{
  hz=(1000*count_jiffies) / count_ms
  printf ("jiffies:ms ratio %d:%d => CONFIG_HZ=%d\n",
    count_jiffies, count_ms, hz)
  exit ()
  }

如果您已安装 systemtap-docs 软件包，可以在 /usr/share/doc/packages/systemtap/examples 中找到几个有用的 SystemTap 示例脚本。

本节将详细介绍一个相当简单的示例脚本：/usr/share/doc/packages/systemtap/examples/network/tcp_connections.stp。

#! /usr/bin/env stap

probe begin {
  printf("%6s %16s %6s %6s %16s\n",
         "UID", "CMD", "PID", "PORT", "IP_SOURCE")
}

probe kernel.function("tcp_accept").return?,
      kernel.function("inet_csk_accept").return? {
  sock = $return
  if (sock != 0)
    printf("%6d %16s %6d %6d %16s\n", uid(), execname(), pid(),
           inet_get_local_port(sock), inet_get_ip_source(sock))
}

此 SystemTap 脚本可监控传入的 TCP 连接，并帮助您实时识别未经授权或不必要的网络访问请求。它会显示计算机接受的每个新传入 TCP 连接的以下信息：

要运行该脚本，请执行

stap /usr/share/doc/packages/systemtap/examples/network/tcp_connections.stp

并按照屏幕上的输出操作。要手动停止脚本，请按 Ctrl–C。

为帮助调试用户空间应用程序（就像 DTrace 可做到的那样），SUSE Linux Enterprise Server 15 SP6 支持使用 SystemTap 进行用户空间探测。在任何用户空间应用程序中都可插入自定义探测点。因此，通过 SystemTap，您可以使用内核空间和用户空间探测来调试整个系统的行为。

要获取所需的 utrace 基础架构和 uprobes 内核模块进行用户空间探测，除了第 4.2 节 “安装和设置”中所列的软件包外，还需要安装 kernel-trace 软件包。

utrace 实施一个用于控制用户空间任务的框架。它提供了可由各种跟踪“引擎”使用的接口，该接口作为可加载内核模块实施。引擎会注册特定事件的回调函数，然后挂接到它们想要跟踪的任何线程。由于回调是从内核中的“安全”位置发出的，因此使得函数拥有很大的自由度可以执行各种处理。通过 utrace 可以监控多个事件。例如，您可以监测系统调用进入和退出、fork() 以及正向任务发送信号等事件。https://sourceware.org/systemtap/wiki/utrace 上提供了有关 utrace 基础结构的更多细节。

SystemTap 支持探测进入用户空间进程中的函数并从中返回、探测用户空间代码中的预定义标记，以及监控用户进程事件。

要检查当前运行的内核是否提供所需的 utrace 支持，请使用以下命令：

> sudo grep CONFIG_UTRACE /boot/config-`uname -r`

有关用户空间探测的更多细节，请参见 https://sourceware.org/systemtap/SystemTap_Beginners_Guide/userspace-probing.html。

本章仅提供了简短的 SystemTap 概述。有关 SystemTap 的详细信息，请参考以下链接：

您还可以在所安装系统中的 /usr/share/doc/packages/systemtap 下找到 SystemTap 语言参考和 SystemTap 教程。example 子目录中提供了示例 SystemTap 脚本。