4. 第一个eBPF+kprobe程序：编写最小化kprobe eBPF程序、使用bpftrace快速验证、使用libbpf加载运行

本章将带领你从零构建第一个结合 kprobe 的 eBPF 程序。我们将采用三种递进的方式：先编写最小化的内核态 eBPF 代码，然后使用 bpftrace 进行快速验证，最后使用 libbpf 完成完整的加载与运行流程。通过这一实战，你将掌握 eBPF 与 kprobe 协作的核心模式。

4.1 最小化 kprobe eBPF 程序结构

一个完整的 kprobe eBPF 程序通常包含两个部分：内核态 eBPF 字节码（通常以 .bpf.c 结尾）和用户态加载器（C 或 Python 等）。最小化版本仅需内核态代码即可通过 bpftrace 或 bpftool 验证。

以下是最小化 kprobe eBPF 程序的骨架，它挂钩 do_sys_openat2 函数，捕获每次打开文件操作的文件名指针：

// minimal_kprobe.bpf.c
#include <linux/bpf.h>
#include <bpf/bpf_helpers.h>
#include <bpf/bpf_tracing.h>

char LICENSE[] SEC("license") = "GPL";

SEC("kprobe/do_sys_openat2")
int kprobe__do_sys_openat2(struct pt_regs *ctx)
{
    // 获取第一个参数：struct pt_regs 中的 filename 指针
    char *filename = (char *)PT_REGS_PARM1(ctx);
    bpf_printk("open file: %s\n", filename);
    return 0;
}

4.2 使用 bpftrace 快速验证

bpftrace 是一种高级追踪语言，底层依赖 eBPF 和 kprobe。它允许你用一行命令验证 kprobe 挂载是否生效，无需编写 C 代码和编译流程。

验证上述最小化程序逻辑的 bpftrace 单行命令：

sudo bpftrace -e 'kprobe:do_sys_openat2 { printf("open: %s\n", str(arg0)); }'

执行后，每当有进程调用 do_sys_openat2，终端会实时打印打开的文件名。你可以同时运行 ls 或 cat 来触发事件。

bpftrace 验证流程与 C eBPF 程序的对应关系：

4.3 使用 libbpf 加载运行

bpftrace 适合快速验证，但生产级 eBPF 程序通常使用 libbpf 作为用户态加载器。libbpf 提供完整的 BPF 对象生命周期管理，包括加载、验证、附加和销毁。

4.3.1 编译 eBPF 字节码

首先将 minimal_kprobe.bpf.c 编译为 BPF 目标文件：

clang -g -O2 -target bpf -D__TARGET_ARCH_x86 \
  -I/usr/include/x86_64-linux-gnu \
  -c minimal_kprobe.bpf.c -o minimal_kprobe.bpf.o

4.3.2 编写用户态加载器

使用 libbpf 的 C API 加载 BPF 对象并附加 kprobe：

// loader.c
#include <stdio.h>
#include <bpf/libbpf.h>
#include <bpf/bpf.h>
#include "minimal_kprobe.skel.h"

int main() {
    struct minimal_kprobe_bpf *skel;
    int err;

    // 1. 打开并加载 BPF 对象
    skel = minimal_kprobe_bpf__open_and_load();
    if (!skel) {
        fprintf(stderr, "Failed to open and load BPF skeleton\n");
        return 1;
    }

    // 2. 附加 kprobe 到 do_sys_openat2
    err = minimal_kprobe_bpf__attach(skel);
    if (err) {
        fprintf(stderr, "Failed to attach kprobe: %d\n", err);
        goto cleanup;
    }

    printf("kprobe attached to do_sys_openat2, tracing...\n");

    // 3. 读取 trace_pipe 输出
    system("cat /sys/kernel/debug/tracing/trace_pipe");

cleanup:
    minimal_kprobe_bpf__destroy(skel);
    return 0;
}

4.3.3 编译与运行

使用 bpftool 生成 skeleton 头文件，然后编译用户态程序：

# 生成 skeleton 头文件
bpftool gen skeleton minimal_kprobe.bpf.o > minimal_kprobe.skel.h

# 编译用户态加载器
gcc -g -O2 -o loader loader.c -lbpf -lelf -lz

# 运行（需要 root 权限）
sudo ./loader

运行后，程序会持续输出内核 trace_pipe 中的日志，显示每次 do_sys_openat2 被调用时的文件名。

4.4 三种方式的对比与选择

4.5 常见问题与避坑指南

• 权限不足： eBPF 程序需要 CAP_BPF 和 CAP_SYS_ADMIN 或 root 权限。使用 sudo 运行加载器。
• 内核函数名不匹配： 不同内核版本函数名可能变化。使用 bpftrace -l 'kprobe:*' | grep <关键词> 确认可用函数。
• 参数读取失败： 确保使用正确的 PT_REGS_PARMx 宏，x86_64 下 PARM1 对应 rdi，PARM2 对应 rsi，依此类推。
• 字符串读取： 用户空间指针不能直接解引用，必须使用 bpf_probe_read_user_str 安全读取。
• LICENSE 声明： 缺少 GPL 兼容许可证会导致内核拒绝加载，错误信息为 kernel: verifier: license is not GPL compatible。