4. kprobe 注册与注销：register_kprobe / unregister_kprobe API 详解与参数说明

kprobe 动态跟踪的核心操作围绕 注册（register_kprobe） 与 注销（unregister_kprobe） 两个 API 展开。理解这两个函数的参数含义、返回值处理以及生命周期管理，是编写稳定 kprobe 模块的基础。本章从函数原型、参数结构、注册流程、注销时机四个维度进行深度解析。

4.1 register_kprobe 函数原型与参数

register_kprobe 是 kprobe 机制中最重要的注册接口，其原型定义在 <linux/kprobes.h> 中：

int register_kprobe(struct kprobe *kp);

4.2 struct kprobe 核心字段详解

struct kprobe 是 kprobe 机制的数据载体，其关键字段决定了探测行为。以下表格列出最常用的字段及其赋值规则：

static struct kprobe kp = {
    .symbol_name = "do_sys_open",
    .pre_handler = handler_pre,
    .post_handler = handler_post,
};

4.3 注册流程与内核内部行为

调用 register_kprobe 后，内核会执行以下关键步骤：

1. 符号解析： 如果指定了 symbol_name，内核通过 kprobe_lookup_name 在 kallsyms 中查找对应地址。
2. 地址校验： 检查目标地址是否在可探测区域（非 __init 段、非 ftrace 保留区域）。
3. 指令备份： 将目标地址处的原始指令复制到 kp->ainsn.insn 中，用于后续单步执行和恢复。
4. 断点插入： 将目标指令的第一个字节替换为 int3（x86 架构）或等效断点指令。
5. 链表挂载： 将当前 kprobe 实例插入全局 kprobe 哈希表，供后续命中查找。

4.4 unregister_kprobe 函数原型与参数

注销操作是注册的逆过程，原型同样简洁：

void unregister_kprobe(struct kprobe *kp);

4.5 注销流程与内核内部行为

注销操作执行以下关键步骤：

1. 断点移除： 将目标地址的 int3 指令恢复为原始指令。
2. 同步等待： 通过 synchronize_rcu 或 synchronize_sched 确保所有正在执行的 kprobe 处理函数已退出。
3. 链表移除： 从全局 kprobe 哈希表中删除当前实例。
4. 资源释放： 释放内部分配的指令缓冲区（ainsn）等资源。

4.6 注册与注销的常见错误码与排查

4.7 典型使用模式：模块加载与卸载

以下代码片段展示了 kprobe 在内核模块中的标准生命周期管理：

#include <linux/kernel.h>
#include <linux/module.h>
#include <linux/kprobes.h>

static struct kprobe kp;

static int handler_pre(struct kprobe *p, struct pt_regs *regs) {
    printk(KERN_INFO "pre_handler: ip=0x%lx\n", regs->ip);
    return 0;
}

static int __init kprobe_init(void) {
    int ret;
    kp.symbol_name = "do_sys_open";
    kp.pre_handler = handler_pre;

    ret = register_kprobe(&kp);
    if (ret < 0) {
        printk(KERN_ERR "register_kprobe failed: %d\n", ret);
        return ret;
    }
    printk(KERN_INFO "kprobe registered at %p\n", kp.addr);
    return 0;
}

static void __exit kprobe_exit(void) {
    unregister_kprobe(&kp);
    printk(KERN_INFO "kprobe unregistered\n");
}

module_init(kprobe_init);
module_exit(kprobe_exit);
MODULE_LICENSE("GPL");

4.8 多 kprobe 实例的注册顺序与依赖

当需要同时探测多个函数时，注册顺序会影响探测的优先级。内核使用 聚合 kprobe（aggregate kprobe） 机制管理同一地址上的多个 kprobe：

• 先注册优先： 第一个注册的 kprobe 成为主 kprobe，负责断点管理。
• 后注册追加： 后续注册的同地址 kprobe 被加入聚合链表，共享同一个断点。
• 注销顺序： 后注册的 kprobe 应先注销，最后注销主 kprobe。