2. kprobe技术基础

2.1 kprobe机制原理

kprobe（Kernel Probe）是Linux内核提供的一种动态插桩机制，允许开发者在不重新编译内核的情况下，在几乎任何内核指令地址处插入探测点。其核心原理是在目标指令前插入一条断点指令（x86架构下为int3，即0xCC），当CPU执行到该地址时触发trap，进而执行用户注册的探测处理函数。

kprobe机制在内核中由三个核心数据结构支撑：

• struct kprobe：描述一个探测点的结构体，包含目标地址、pre_handler、post_handler、fault_handler等回调函数指针。
• struct kprobe_ctlblk：每个CPU的探测控制块，用于保存被替换指令的上下文和单步执行状态。
• struct kprobe_insn_cache：指令缓存池，用于存放被替换的原始指令和单步执行所需的副本。

2.2 kprobe工作流程

当用户通过register_kprobe()注册一个kprobe后，内核会执行以下完整流程：

1. 地址解析与验证：检查目标地址是否合法（不在模块代码段外、不在NMI处理函数内等）。
2. 指令备份：将目标地址处的原始指令复制到kprobe_insn_cache中保存。
3. 断点插入：将目标地址的第一个字节替换为int3（0xCC）指令。
4. 断点触发：当CPU执行到该地址时，触发do_int3()异常处理函数。
5. pre_handler执行：在断点处理函数中调用用户注册的pre_handler回调。
6. 单步执行：将指令指针回退到断点地址，临时恢复原始指令，设置单步标志（TF），执行一条原始指令。
7. post_handler执行：单步执行完成后，再次触发调试异常，调用post_handler回调。
8. 恢复断点：重新将int3写回目标地址，恢复正常的指令流执行。

2.3 kprobe回调函数类型

kprobe支持三种类型的回调函数，分别在不同的执行阶段被调用：

2.4 kprobe与jprobe、uprobe的区别

Linux内核提供了多种动态探测机制，kprobe、jprobe和uprobe各有侧重。jprobe在较新内核中已被标记为废弃（deprecated），推荐使用kprobe或fentry替代。下表对比了三者的核心差异：

2.5 kprobe的约束与限制

使用kprobe时需要注意以下技术约束：

• 不可探测点：不能探测NMI（非屏蔽中断）处理函数、kprobe自身实现代码、int3处理函数等关键路径。
• 原子上下文：回调函数在原子上下文中执行，不能调用可能睡眠的函数（如mutex_lock、copy_from_user）。
• 递归探测：kprobe框架会检测递归调用，如果pre_handler中再次触发kprobe，会被自动忽略。
• 指令对齐：某些架构要求探测地址必须指令对齐（如ARM架构的4字节对齐）。
• 模块卸载：如果kprobe注册在可加载内核模块中，必须在模块卸载前注销所有kprobe。

2.6 kprobe的注册与注销API

内核提供的kprobe操作API如下：

#include <linux/kprobes.h>

// 注册一个kprobe探测点
int register_kprobe(struct kprobe *kp);

// 注销一个kprobe探测点
void unregister_kprobe(struct kprobe *kp);

// 批量注册多个kprobe
int register_kprobes(struct kprobe **kps, int num);

// 批量注销多个kprobe
void unregister_kprobes(struct kprobe **kps, int num);

// 禁用/启用kprobe（不注销，临时关闭）
int disable_kprobe(struct kprobe *kp);
int enable_kprobe(struct kprobe *kp);

一个典型的kprobe使用示例：

static struct kprobe kp = {
    .symbol_name = "do_sys_open",
    .pre_handler = handler_pre,
    .post_handler = handler_post,
};

static int handler_pre(struct kprobe *p, struct pt_regs *regs)
{
    // 通过 regs->di, regs->si, regs->dx 获取参数
    printk(KERN_INFO "do_sys_open called, filename: %s\n",
           (char *)regs->si);
    return 0;
}

static void handler_post(struct kprobe *p, struct pt_regs *regs,
                         unsigned long flags)
{
    // 通过 regs->ax 获取返回值
    printk(KERN_INFO "do_sys_open returned: %ld\n", regs->ax);
}

int init_module(void)
{
    int ret = register_kprobe(&kp);
    if (ret < 0) {
        printk(KERN_ERR "register_kprobe failed: %d\n", ret);
        return ret;
    }
    return 0;
}

void cleanup_module(void)
{
    unregister_kprobe(&kp);
}