1

我一直在尝试使用 Brendan Gregg 的tcptop BCC 工具来了解有关 eBPF 程序如何工作的更多信息。我试图让它打印任务的 CGROUP 路径。

凭借我对 Linux 系统编程的生疏知识，我认为我可以使用 from 的函数linux/cgroup.h，特别是task_cgroup_path() 看起来很有希望，因为我可以将电流task_struct *（从 获得bpf_get_current_task()）传递给它。我正在使用带有4.19.59内核的 CentOS7 机器。

但是，当我尝试执行修改后的 tcptop 时，验证程序失败并last insn is not an exit or jmp显示错误消息。我试图理解为什么会这样。

这是修改的差异tcptop：patch

这是验证器的输出

4

1 回答 1

2

我以为我可以使用来自linux/cgroup.h

你不能。

唯一可以从 eBPF 程序调用的函数是：

  • 在您的 eBPF 代码中定义的其他函数（它们可以内联，但不再需要，eBPF 支持函数调用），
  • eBPF 助手，它们是专门暴露给 eBPF 程序的内核函数（参见源代码或手册页中的文档），
  • 编译器内置，__builtin_memcpy()例如。

其他内核函数，即使符号被导出并暴露给内核模块，或者标准库中的用户函数，也不能从 eBPF 程序中调用（它们可以使用 eBPF 进行跟踪，但这是不同的）。

关于您的用例，我不确定从其 id 获取 cgroup 路径的最佳方法是什么。您可以在用户空间中执行此操作，尽管我不知道如何从 id 获取路径。我知道反过来是可能的（从路径中获取 id，这可以通过系统name_to_handle_at()调用来完成），所以最坏的情况是你可以迭代所有现有路径并获取 id。如果你有一个强大的用例并且需要一段时间，一个长期的解决方案是提交一个新的 eBPF 助手，它会调用task_cgroup_path().

[编辑]关于验证器返回的错误信息 ( last insn is not an exit or jmp)：BPF 程序支持函数调用，因此您的程序中可以有多个函数（“子程序”）。这些子程序中的每一个都是指令列表，可能包含向前或向后（在某些条件下）跳转。从验证者的角度来看，程序的执行必须以一条exit或无条件的向后跳转指令（来自子程序的“返回”）结束，这是to avoid fall-through from one subprog into another. 在函数结束时不做任何特定的事情（从整个程序返回或退出）是没有意义的，而且会很危险（一旦 JIT-ed，程序在内存中不一定是连续的，所以你不会失败安全，即使这是有道理的）。

现在，如果我们看看 clang 是如何编译你的程序的，我们会看到这个调用task_cgroup_path()：

; task_cgroup_path(t, (char *) &cgpath, sizeof(cgpath)); // Line  50
  20:   bf 01 00 00 00 00 00 00     r1 = r0
  21:   b7 03 00 00 10 00 00 00     r3 = 16
  22:   85 10 00 00 ff ff ff ff     call -1

这call -1是对 BPF 函数的调用（不是内核帮助程序，而是预期在您的程序中找到的函数，您可以通过BPF_PSEUDO_CALL在指令的第二个字节上将源寄存器设置为 1 ( ) 来判断）。所以验证者认为这次跳转的目标是一个子程序。除了因为task_cgroup_path()不是 BPF 子程序，clang 找不到它来设置相关的偏移量，-1而是使用它，将 标记call -1为这个可能的子程序的第一条指令。但是在 the 之前的最后一条指令call -1既不是 anexit也不是 a jump，所以验证者最终会发现程序有问题，并拒绝它。所有这些逻辑都发生在 function 中check_subprogs()。

于 2020-06-05T08:09:05.440 回答