2. kprobe基础概念：kprobe机制原理、kprobe结构体、kprobe注册与注销流程

kprobe（Kernel Probe）是Linux内核提供的一种动态插桩机制，允许开发者在不重新编译内核、不重启系统的情况下，在几乎任意内核指令地址处插入探测点。对于中断上下文驱动的调试，kprobe能够在中断处理函数、软中断、tasklet等关键路径上植入探针，实时捕获函数入口、出口以及指令执行状态，是分析执行时间、调用栈和参数传递的核心工具。

2.1 kprobe机制原理

kprobe的核心思想是指令级断点替换。当注册一个kprobe到某个内核函数地址时，内核会将该地址处的原始指令替换为一条断点指令（x86架构下为int3，ARM64下为brk）。当CPU执行到该地址时，触发断点异常，内核的kprobe异常处理例程接管控制流，依次执行用户注册的pre_handler（在原始指令执行前触发）和post_handler（在原始指令执行后触发）。执行完毕后，CPU单步执行被替换的原始指令，然后恢复正常执行流。

2.2 kprobe结构体

kprobe机制的核心数据结构是struct kprobe，定义在<linux/kprobes.h>中。该结构体描述了探针的注册地址、处理函数、链表管理等信息。理解其字段是编写kprobe模块的基础。

2.3 kprobe注册与注销流程

kprobe的注册和注销通过内核提供的API完成，流程清晰且具有对称性。注册时内核完成指令替换和异常处理挂钩，注销时恢复原始指令并清理资源。

2.3.1 注册流程

1. 分配并初始化kprobe结构体：设置symbol_name或addr，绑定pre_handler/post_handler等回调。
2. 调用register_kprobe()：内核检查地址合法性，保存原始指令到opcode字段，将目标地址指令替换为断点指令。
3. 激活探针：注册成功后，探针立即生效（除非设置了KPROBE_FLAG_DISABLED）。
4. 多探针处理：若同一地址已有kprobe，新探针通过list字段加入链表，形成kprobe链。

2.3.2 注销流程

1. 调用unregister_kprobe()：内核从kprobe链中移除当前探针。
2. 恢复原始指令：若该地址没有其他活跃探针，内核将断点指令恢复为保存的原始指令。
3. 同步CPU：通过synchronize_sched()或synchronize_rcu()确保所有CPU核都已退出探针处理，避免野指针。
4. 清理资源：释放探针相关的内部数据结构。

2.4 代码示例：kprobe注册与注销

以下是一个完整的内核模块示例，演示如何在do_sys_open函数入口注册kprobe，并在模块卸载时注销。

#include <linux/kernel.h>
#include <linux/module.h>
#include <linux/kprobes.h>
#include <linux/version.h>

/* pre_handler：在原始指令执行前调用 */
static int handler_pre(struct kprobe *p, struct pt_regs *regs)
{
    printk(KERN_INFO "kprobe: pre_handler at %p\n", p->addr);
    /* 在中断上下文中，避免使用可能导致睡眠的操作 */
    return 0;  /* 返回0继续执行原始指令，返回非0则跳过 */
}

/* post_handler：在原始指令执行后调用 */
static void handler_post(struct kprobe *p, struct pt_regs *regs,
                         unsigned long flags)
{
    printk(KERN_INFO "kprobe: post_handler at %p\n", p->addr);
}

/* fault_handler：探针处理过程中发生异常时调用 */
static int handler_fault(struct kprobe *p, struct pt_regs *regs,
                         int trapnr)
{
    printk(KERN_INFO "kprobe: fault_handler trapnr=%d\n", trapnr);
    return 0;
}

static struct kprobe kp = {
    .symbol_name    = "do_sys_open",
    .pre_handler    = handler_pre,
    .post_handler   = handler_post,
    .fault_handler  = handler_fault,
};

static int __init kprobe_init(void)
{
    int ret;

    ret = register_kprobe(&kp);
    if (ret < 0) {
        printk(KERN_ERR "kprobe: register_kprobe failed, ret=%d\n", ret);
        return ret;
    }
    printk(KERN_INFO "kprobe: registered at %p\n", kp.addr);
    return 0;
}

static void __exit kprobe_exit(void)
{
    unregister_kprobe(&kp);
    printk(KERN_INFO "kprobe: unregistered\n");
}

module_init(kprobe_init);
module_exit(kprobe_exit);
MODULE_LICENSE("GPL");
MODULE_AUTHOR("Kprobe Expert");
MODULE_DESCRIPTION("kprobe registration and unregistration example");

2.5 关键注意事项

• 上下文限制：kprobe处理函数运行在中断上下文中，禁止调用可能导致睡眠的函数（如mutex_lock、kmalloc(GFP_KERNEL)、copy_from_user）。
• 递归保护：kprobe处理函数内部不能再次触发同一地址的kprobe，否则导致递归死循环。内核通过kprobe_running标志防止递归。
• 性能影响：每次探针触发都会产生断点异常和单步执行的开销，在热路径上使用kprobe需评估性能损失。
• 多核同步：在多核系统中，同一时刻可能有多个CPU核执行同一探针的处理函数，回调函数必须实现可重入。
• 指令对齐：kprobe要求探测地址必须是指令对齐的，不能设置在指令中间（如x86的变长指令中间字节）。