3. kprobe 核心数据结构详解

kprobe 机制的实现依赖于三个核心数据结构：struct kprobe、struct kprobe_ctlblk 和 struct kprobe_instance。理解这些结构体是编写 kprobe 驱动的基础，它们分别负责描述探针本身、管理 per-CPU 控制块以及维护实例上下文。本章将逐一拆解每个结构体的字段含义、内存布局及协作关系。

3.1 struct kprobe：探针描述符

struct kprobe 是 kprobe 机制中最核心的数据结构，每个 kprobe 实例对应一个内核探测点。它包含了探测地址、回调函数指针、原始指令保存区以及链表管理字段。

字段名	类型	说明
addr	kprobe_opcode_t *	探测点的内核虚拟地址，即要插入断点指令的位置。
pre_handler	kprobe_pre_handler_t	在探测指令执行前调用的回调函数，用于采集数据或修改上下文。
post_handler	kprobe_post_handler_t	在探测指令执行后调用的回调函数，用于收尾或统计。
fault_handler	kprobe_fault_handler_t	当 pre_handler 或 post_handler 中发生异常时调用，用于错误恢复。
opcode	kprobe_opcode_t	保存被替换的原始指令的第一个字节（断点指令覆盖前）。
ainsn	struct arch_specific_insn	架构相关的单步执行指令缓冲区，用于模拟被替换的指令。
flags	unsigned long	标志位，如 KPROBE_FLAG_GONE、KPROBE_FLAG_DISABLED 等。
list	struct list_head	用于将多个 kprobe 链接到全局哈希表或同一地址的链表。

3.2 struct kprobe_ctlblk：per-CPU 控制块

struct kprobe_ctlblk 是每个 CPU 独立拥有的控制块，用于管理当前 CPU 上 kprobe 触发时的状态。它解决了多核并发和嵌套探测的问题。

字段名	类型	说明
kprobe_status	int	当前 CPU 的 kprobe 状态机值，如 KPROBE_HIT、KPROBE_REENTER、KPROBE_HIT_SS。
prev_kprobe	struct kprobe *	当发生嵌套探测时，保存上一级 kprobe 的指针，用于回退。
kcb	struct kprobe_cpu_context	保存 CPU 寄存器上下文，用于单步执行和恢复。
ss_addr	unsigned long	单步执行时的目标地址，用于调试单步完成后的跳转。

3.3 struct kprobe_instance：实例化上下文

struct kprobe_instance 是 kprobe 实例化的上下文结构体，主要用于支持同一探测点注册多个 kprobe 的场景。它提供了实例级别的隔离和生命周期管理。

字段名	类型	说明
kp	struct kprobe *	指向所属的 struct kprobe 实例。
start_addr	unsigned long	实例化范围的起始地址，用于限定探测范围。
end_addr	unsigned long	实例化范围的结束地址，与 start_addr 构成区间。
private_data	void *	私有数据指针，驱动开发者可自定义挂载上下文信息。

3.4 数据结构协作流程

当 kprobe 被触发时，三个结构体按以下流程协作：

1. 断点命中： CPU 执行到探测地址，触发 int3 异常，进入 kprobe 异常处理函数。
2. 状态保存： 当前 CPU 的 kprobe_ctlblk 被更新，kprobe_status 设置为 KPROBE_HIT。
3. 回调执行： 从 struct kprobe 中取出 pre_handler 并执行，传入 struct kprobe_instance 作为上下文。
4. 单步执行： 执行被替换的原始指令（通过 ainsn 缓冲区），状态变为 KPROBE_HIT_SS。
5. 后处理： 调用 post_handler，状态恢复为 KPROBE_HIT_SSDONE，最终回到正常执行流。

3.5 数据结构对比总结

结构体	作用域	生命周期	核心职责
struct kprobe	全局 / 模块	注册到注销	定义探针属性、回调、原始指令
struct kprobe_ctlblk	per-CPU	内核运行期间常驻	管理状态机、嵌套回退、寄存器上下文
struct kprobe_instance	实例级别	随实例创建和销毁	提供实例隔离、私有数据挂载