3. kprobe原理：kprobe机制架构、kprobe/jprobe/kretprobe的区别与联系

kprobe（Kernel Probe）是Linux内核提供的一种轻量级动态插桩机制，允许在内核运行时动态地插入探测点，用于收集调试和性能分析信息。理解kprobe的架构设计以及其三种变体（kprobe、jprobe、kretprobe）的差异，是掌握内核动态跟踪技术的基础。

3.1 kprobe机制架构

kprobe的核心思想是在指定的内核指令地址处插入断点指令（如x86架构的int3），当CPU执行到该地址时触发异常，转而执行用户预定义的探测处理函数。整个架构分为三层：用户接口层、核心管理层和指令层。

3.2 kprobe核心数据结构

每个kprobe实例对应一个struct kprobe结构体，它包含了探测点的所有信息：

struct kprobe {
    struct hlist_node hlist;      /* 哈希链表节点 */
    kprobe_opcode_t *addr;        /* 探测点内核地址 */
    const char *symbol_name;      /* 符号名称（可选） */
    unsigned int offset;          /* 符号内偏移 */
    kprobe_pre_handler_t pre_handler;      /* 断点触发前回调 */
    kprobe_post_handler_t post_handler;    /* 单步执行后回调 */
    kprobe_fault_handler_t fault_handler;  /* 异常处理回调 */
    kprobe_break_handler_t break_handler;  /* 断点冲突处理 */
    /* ... 其他内部字段 */
};

3.3 kprobe/jprobe/kretprobe的区别与联系

Linux内核提供了三种kprobe变体，分别针对不同的探测场景：kprobe（通用探测）、jprobe（函数入口探测）和kretprobe（函数返回探测）。它们共享底层机制，但在使用方式和适用场景上存在显著差异。

3.4 三种探测机制详细对比

3.5 执行流程对比

三种探测机制在执行流程上存在明显差异，理解这些差异有助于选择合适的探测方式：

3.5.1 kprobe 执行流程

1. CPU执行到探测地址，触发int3异常
2. 内核进入do_int3异常处理函数
3. 查找kprobe_table，找到对应的struct kprobe
4. 调用pre_handler（此时原始指令尚未执行）
5. 单步执行原始指令（已从备份中恢复）
6. 调用post_handler（原始指令已执行完毕）
7. 恢复执行流，继续执行后续指令

3.5.2 jprobe 执行流程

1. 在函数入口处设置kprobe断点
2. 触发断点后，jprobe保存当前寄存器上下文
3. 构造伪造的函数调用栈帧，使探测函数看起来像被原始函数调用
4. 调用探测函数（可直接访问函数参数）
5. 探测函数返回后，jprobe恢复原始寄存器上下文
6. 单步执行原始函数的第一条指令
7. 继续执行原始函数体

3.5.3 kretprobe 执行流程

1. 在函数入口设置kprobe，注册entry_handler
2. 在entry_handler中，将函数返回地址替换为trampoline地址
3. 原始函数正常执行
4. 函数执行ret指令时，跳转到trampoline
5. trampoline调用return_handler，传入返回值
6. trampoline恢复原始返回地址，跳转回调用者

3.6 选择指南

3.7 内核崩溃场景中的价值

在内核崩溃场景中，kprobe 及其变体具有独特的价值：