2. kprobe内核架构：kprobe在内核中的位置、kprobe模块结构体、kprobe注册与注销流程

kprobe 是 Linux 内核动态插桩机制的核心组件，它允许开发者在不修改内核源码、不重新编译内核、不重启系统的情况下，在内核函数的任意指令位置插入探测点。理解 kprobe 在内核中的位置、核心数据结构以及注册/注销流程，是进行驱动性能调优的基础。

2.1 kprobe 在内核中的位置

kprobe 位于内核的 动态追踪基础设施 层，是 ftrace、perf、eBPF 等高级追踪工具的下层基石。它直接操作内核指令流，通过断点指令（如 x86 的 int3）或跳转指令实现代码插桩。

2.2 kprobe 模块结构体

kprobe 的核心数据结构是 struct kprobe，定义在 <linux/kprobes.h> 中。该结构体描述了探测点的位置、处理函数以及内部状态。

2.3 kprobe 注册与注销流程

kprobe 的注册与注销涉及内核指令的修改、异常处理向量的注册以及资源的分配与释放。整个流程必须保证原子性和安全性。

2.3.1 注册流程

1. 参数校验： 检查 struct kprobe 中的 addr 或 symbol_name 是否有效，确保探测点不在黑名单中（如 kprobes 自身代码段）。
2. 地址解析： 如果提供的是 symbol_name，通过 kprobe_lookup_name() 在内核符号表中查找并转换为实际地址。
3. 冲突检测： 检查目标地址是否已被其他 kprobe 占用。如果已存在，则将该 kprobe 添加到已有探测点的 list 链表中（共享探测点机制）。
4. 指令替换： 调用架构相关的 arch_prepare_kprobe()，将目标地址处的原始指令保存到 opcode 字段，并写入断点指令（x86 上为 int3，即 0xCC）。
5. 单步缓冲区准备： 分配并初始化 ainsn 单步执行缓冲区，用于在断点触发后模拟执行被替换的指令。
6. 激活探测点： 调用 arch_arm_kprobe() 使断点生效（刷新指令缓存，确保 CPU 执行到该地址时触发断点）。
7. 添加到全局哈希表： 将 kprobe 插入 kprobe_table 哈希表，以便快速查找和管理。

2.3.2 注销流程

1. 从哈希表移除： 将 kprobe 从 kprobe_table 中删除，确保后续不会再被查找命中。
2. 停用探测点： 调用 arch_disarm_kprobe() 将断点指令恢复为原始指令（从 opcode 中读取）。
3. 同步等待： 通过 synchronize_rcu() 或 synchronize_sched() 确保所有正在执行的探测处理函数已经退出，没有 CPU 核心仍在执行该探测点的处理逻辑。
4. 释放资源： 释放单步缓冲区 ainsn 以及其他架构相关的资源。
5. 清理共享探测点： 如果该地址有多个 kprobe 共享，则仅从链表中移除当前 kprobe，保留其他探测点继续工作。

2.3.3 注册与注销的代码示例

#include <linux/kernel.h>
#include <linux/module.h>
#include <linux/kprobes.h>

static int handler_pre(struct kprobe *p, struct pt_regs *regs)
{
    printk(KERN_INFO "pre_handler: p->addr = 0x%p, ip = 0x%lx\n",
           p->addr, regs->ip);
    return 0;
}

static void handler_post(struct kprobe *p, struct pt_regs *regs,
                         unsigned long flags)
{
    printk(KERN_INFO "post_handler: p->addr = 0x%p\n", p->addr);
}

static struct kprobe kp = {
    .symbol_name = "do_sys_open",
    .pre_handler  = handler_pre,
    .post_handler = handler_post,
};

static int __init kprobe_init(void)
{
    int ret;
    ret = register_kprobe(&kp);
    if (ret < 0) {
        printk(KERN_ERR "register_kprobe failed, returned %d\n", ret);
        return ret;
    }
    printk(KERN_INFO "kprobe registered at 0x%p\n", kp.addr);
    return 0;
}

static void __exit kprobe_exit(void)
{
    unregister_kprobe(&kp);
    printk(KERN_INFO "kprobe unregistered\n");
}

module_init(kprobe_init);
module_exit(kprobe_exit);
MODULE_LICENSE("GPL");

2.4 架构差异与注意事项