1. 课程导论：Linux内核崩溃的常见原因与kprobe动态跟踪技术概述
1.1 内核崩溃的本质与影响
Linux内核崩溃（Kernel Panic / Oops）是操作系统最严重的运行时故障。当内核检测到无法恢复的逻辑错误或硬件异常时，会主动终止系统运行，并输出诊断信息。在生产环境中，一次内核崩溃可能导致服务中断、数据丢失或硬件损坏。
关键认知： 内核崩溃并非随机事件，而是由特定的编程错误或资源竞争触发的。掌握崩溃的根因模式，是进行动态跟踪分析的前提。
1.2 三大常见崩溃原因深度解析
根据Linux内核社区及生产环境故障统计，超过80%的内核崩溃可归因于以下三类问题：
| 崩溃类型 | 触发场景 | 典型内核错误码 | 调试难度 |
|---|---|---|---|
| NULL指针解引用 | 访问未初始化或已释放的指针成员 | Oops: 0000 [#1] SMP | 中 |
| 内存越界 | 数组下标溢出、缓冲区溢出、use-after-free | BUG: unable to handle kernel paging request | 高 |
| 死锁 | 自旋锁/互斥锁循环等待、中断上下文冲突 | INFO: task hung in D state / Kernel panic - not syncing | 极高 |
1.2.1 NULL指针解引用
这是最常见的崩溃类型。当内核代码试图通过一个空指针（NULL或近似地址）访问内存时，MMU会触发缺页异常。内核在无法修复该异常时，输出Oops并可能触发panic。
// 典型触发代码模式
struct net_device *dev = NULL;
dev->name = "eth0"; // 访问NULL指针的成员
1.2.2 内存越界
包括堆越界、栈越界和use-after-free。这类错误通常不会立即崩溃，而是先破坏相邻内存结构，在后续操作中才暴露出来，导致调试极为困难。
// 数组越界示例
int arr[4];
arr[5] = 0xdeadbeef; // 写入越界地址，可能破坏slab对象
1.2.3 死锁
当两个或多个执行路径互相等待对方释放锁资源时，系统永久阻塞。内核hung task检测机制会在120秒后触发panic。
// 经典AB-BA死锁
spin_lock(&lock_A);
spin_lock(&lock_B); // 线程1持有A等待B
// 线程2持有B等待A
实战提示： 死锁崩溃的现场往往不包含直接的错误指令，而是表现为"task hung"或"soft lockup"。此时需要借助动态跟踪工具分析锁的持有者和等待者。
1.3 kprobe动态跟踪技术概述
kprobe（Kernel Probe）是Linux内核内置的动态插桩框架，允许在不重新编译内核、不重启系统的情况下，在任意内核函数入口、出口或指定指令位置插入探测点，收集运行时数据。
1.3.1 kprobe的三层架构
1.3.2 kprobe的工作流程
- 注册探测点： 用户通过系统调用或内核模块注册目标地址/函数名。
- 指令替换： kprobe将目标指令首字节替换为断点指令（如x86的
int3）。 - 触发处理： CPU执行到断点时，陷入kprobe_handler，执行预定义的pre_handler。
- 单步执行： 处理完成后，kprobe单步执行原指令，然后恢复流程。
- 后处理： 若注册了post_handler或fault_handler，在单步后或异常时调用。
1.3.3 kprobe vs 传统调试手段
| 对比维度 | kprobe动态跟踪 | printk日志 | kgdb断点调试 |
|---|---|---|---|
| 是否需要重启 | 否 | 是（需重新编译） | 是（需进入调试模式） |
| 性能开销 | 极低（仅命中时触发） | 持续输出，高开销 | 暂停系统，无法用于生产 |
| 可观测粒度 | 函数级/指令级 | 代码行级 | 指令级 |
| 生产环境适用 | 是 | 否（影响性能） | 否（暂停系统） |
| 数据采集能力 | 寄存器、栈、参数、返回值 | 仅文本字符串 | 完整内存视图 |
学习路径建议： 本课程将围绕上述三大崩溃原因，逐一演示如何使用kprobe在崩溃现场捕获关键变量、函数参数和调用栈，实现从"崩溃黑盒"到"可观测白盒"的转变。
1.4 课程核心价值
通过本课程，你将掌握：
- 如何在不修改内核源码的情况下，对任意内核函数进行动态插桩。
- 针对NULL指针解引用，定位空指针的来源与赋值路径。
- 针对内存越界，追踪越界写入的源头与受害内存对象。
- 针对死锁，捕获锁的持有链与等待图。
- 将kprobe与crash工具、ftrace、perf结合，构建完整的崩溃分析工作流。