1. 课程导论：kprobe与jprobe概述、内核模块加载流程简介、联合调试的价值与目标
1.1 kprobe与jprobe概述
kprobe（Kernel Probe）是Linux内核提供的一种动态插桩机制，允许开发者在不重新编译内核或重启系统的情况下，在几乎任何内核指令地址处插入探测点，用于采集调试信息、性能数据或执行自定义回调函数。jprobe（Jumper Probe）是kprobe的一种特殊变体，专为内核函数入口探测而设计，能够以更简洁的方式捕获函数参数。
| 特性 | kprobe | jprobe |
|---|---|---|
| 探测粒度 | 任意指令地址 | 函数入口（第一条指令） |
| 参数访问 | 需手动解析寄存器/栈 | 自动模拟函数调用约定，直接访问参数 |
| 回调类型 | pre_handler、post_handler、fault_handler | entry_handler（函数入口回调） |
| 适用场景 | 指令级监控、性能采样、热补丁 | 函数参数捕获、调用栈分析 |
| 实现复杂度 | 较高，需处理指令长度和单步执行 | 较低，基于kprobe封装 |
核心概念：kprobe通过将目标指令替换为断点指令（如x86上的
int3）实现动态插桩。当CPU执行到该地址时触发异常，内核接管后执行用户注册的回调函数。jprobe则利用kprobe在函数入口处设置断点，并通过修改栈帧来模拟被探测函数的调用环境，使得回调函数可以直接以参数形式访问原始函数入参。
1.2 内核模块加载流程简介
Linux内核模块（.ko文件）的加载过程由init_module系统调用触发，经过一系列内核函数协作完成。理解这一流程是精准设置探测点的前提。
核心加载阶段
- 系统调用入口：用户态
insmod调用init_module或finit_module，进入内核态。 - 模块文件读取：内核将ELF格式的.ko文件从用户空间拷贝到内核空间，并进行合法性校验。
- 符号解析与重定位：解析模块的导入/导出符号表，将未定义符号链接到内核或已加载模块的地址。
- 模块初始化：调用模块的
init_module函数（即模块源码中的module_init宏指定的入口）。 - 注册与通知：将模块加入全局模块链表，触发
notifier链，通知其他子系统。
| 阶段 | 关键内核函数 | 主要操作 |
|---|---|---|
| 系统调用 | sys_init_module / sys_finit_module |
权限检查、参数验证 |
| ELF解析 | load_module → elf_validity_check |
校验ELF头、节区表、段布局 |
| 符号处理 | simplify_symbols / apply_relocate_add |
符号查找、地址修正、重定位 |
| 模块初始化 | do_init_module → module->init() |
执行模块初始化函数 |
| 通知链 | blocking_notifier_call_chain |
通知模块加载完成 |
1.3 联合调试的价值与目标
单独使用kprobe或jprobe各有局限：kprobe灵活但参数获取繁琐，jprobe简洁但仅限函数入口。将两者联合使用，可以在模块加载过程中实现全链路、多维度的观测能力。
联合调试的核心价值
- 互补覆盖：jprobe捕获函数入口参数，kprobe监控函数内部指令执行和返回值，形成完整的数据流视图。
- 分层探测：在模块加载的高层函数（如
load_module）使用jprobe快速定位问题函数，在底层关键指令处使用kprobe进行精细分析。 - 性能可控：jprobe开销较低，适合长期监控；kprobe可按需动态启用，避免对生产环境造成持续影响。
- 错误回滚追踪：当模块加载失败时，联合探测可以同时捕获失败点的函数参数和指令执行状态，快速定位根因。
| 调试场景 | 推荐探测方式 | 联合调试优势 |
|---|---|---|
| 模块初始化函数崩溃 | jprobe捕获do_init_module参数 + kprobe监控module->init()指令 |
同时获取模块指针和崩溃指令地址 |
| 符号解析失败 | jprobe探测simplify_symbols + kprobe监控find_symbol内部 |
捕获缺失符号名称和查找路径 |
| 重定位地址越界 | jprobe探测apply_relocate_add + kprobe监控重定位循环 |
定位具体重定位项和偏移量 |
| 模块加载权限拒绝 | jprobe探测sys_init_module + kprobe监控security_module_enable |
追踪权限检查链和返回值 |
课程目标：通过本课程的学习，你将掌握以下核心能力：
- 熟练编写kprobe和jprobe探测模块，理解其底层实现原理。
- 能够在内核模块加载的关键路径上精准设置探测点。
- 掌握联合调试的策略设计，解决模块加载过程中的常见故障。
- 学会分析探测数据，定位符号解析、重定位、初始化等阶段的异常。
- 具备在生产环境中安全使用动态插桩进行问题排查的能力。
注意事项：在生产环境中使用kprobe/jprobe时，务必注意以下几点：
- 确保内核配置启用了
CONFIG_KPROBES、CONFIG_KPROBE_EVENTS等选项。 - jprobe在较新内核（5.x+）中已被标记为弃用，建议优先使用kprobe或基于ftrace的
fprobe。本课程仍以jprobe作为教学示例，因其参数访问机制更直观。 - 不要在持有自旋锁或中断上下文中长时间阻塞探测回调，可能导致系统死锁。
- 探测点数量不宜过多，避免对模块加载性能产生显著影响。