浅浅地了解一下Linux内核追踪技术

jobszheng5

浅浅地了解一下Linux内核追踪技术 [复制链接]

<div class='showpostmsg'># 浅浅地了解一下Linux内核追踪技术   我们平时编写嵌入式Linux程序主要分为两类：Linux的应用程序，即运行在用户层的程序；Linux Kernel驱动，即需要编译到Kernel。前者，是在Linux Kernel的框架下运行。当出现bug时，kernel会告警，甚至直接kill掉运行中的程序；而后者，如果在运行中出现则会直接crash掉内核。今天学习分享的内容便是kernel调试技术。 ## Ftrace   Ftrace，名字源于Function Trace，基于静态代码插桩(Stub)技术，不需要用户通过额外编程来定义trace行为。静态代码插桩技术比较可靠。不会因为用户使用不当而导致内核崩溃。Ftrace利用GCC的profile特性，在所有函数入口处添加一段插桩代码，ftrace重载这段代码来实现trace功能。ftrace编写了自己的mcount stub函数，在使用GCC编译kernel添加-pg选项，之后便会在每个函数入口处加入mcount的调用代码来实现trace功能。在配置了Ftrace相关编译选项后，ftrace通过debugfs文件系统向用户空间提供访问接口。   常用的trace跟踪器比如Function，Function-graph，blk。 **Ftrace Function Trace**   function跟踪器会记录当前系统运行过程中的所有函数。注意，这里是所有函数。于是，我们要引出来一个动态ftrace的功能。由于Function功能会打印大量调试信息，所以文中建议使用动态ftrace。动态ftrace使用set_ftrace_fliter和set_ftrace_notrace两个文件，其中，前者设置要trace的函数，后都则过滤掉不要跟踪的函数。 ## Perf工具   大名鼎鼎地perf工具，是一款Linux性能分析工具，利用CPU，性能监控单元（PMU）和软件计数等进行性能分析。在实际调试过程，一般使用perf record命令，并添加不少选项： -e：选择一个事件 -p：指定一个进程ID来采集特定进程的数据 -o：写入采集数据的数据文件   之后，再使用perf report命令来解析perf record产生的数据，并给出分析结果。   有幸利用perf工具调试过程，并实地观察了perf record和perf report，坦白讲，真不是我这水平所能承受的。 ## eBPF工具   eBPF本质上，是一种内核代码注入技术，注入的大致步骤如下： 1. 内核实现了一个eBPF虚拟机 2. 在用户态使用C语言等高级语言编写代码，并通过LLVM编译器将编译成BPF目标码 3. 在用户态通过调用bpf()接口函数把BPF目标码注入内核之中 4. 内核通过JIT编译器把BPF目标码转换为本地代码 5. 内核提供一系列hook来运行BPF代码 6. 内核态和用户态使用一套名为map的机制来进行通信   eBPF的优势，其在于其不修改内核代码的情况即可灵活修改内核处理策略。也是目前主流的内核注入技术，也是目前发展最快的调试技术。继续关注，继续学习。</div><script> var loginstr = '<div class="locked">查看本帖全部内容，请<a href="javascript:;" style="color:#e60000" class="loginf">登录</a>或者<a href="https://bbs.eeworld.com.cn/member.php?mod=register_eeworld.php&action=wechat" style="color:#e60000" target="_blank">注册</a></div>'; if(parseInt(discuz_uid)==0){ } </script><script type="text/javascript">(function(d,c){var a=d.createElement("script"),m=d.getElementsByTagName("script")[0],eewurl="//counter.eeworld.com.cn/pv/count/";a.src=eewurl+c;m.parentNode.insertBefore(a,m)})(document,523)</script>

chejm

感谢楼主分享的Linux内核追踪技术，受益匪浅，希望能有机会实践一下楼主提供的技术

hellokitty_bean

这个伯克利包过滤技术，倒是听说过，哎呀，真的很高深呀。。。。。。不懂内核。。。

jobszheng5

hellokitty_bean 发表于 2024-5-2 20:47 这个伯克利包过滤技术，倒是听说过，哎呀，真的很高深呀。。。。。。不懂内核。。。

eBPF技术推广没有几年，但其技术非常便利。如果想玩玩内核，eBPF还是建议了解一下

hellokitty_bean

嗯嗯嗯。跟着大神学到了！但连Linux都没学好，能玩EBPF吗？

jobszheng5

hellokitty_bean 发表于 2024-5-5 21:23 嗯嗯嗯。跟着大神学到了！但连Linux都没学好，能玩EBPF吗？

惭愧，惭愧，目前的linux水平还很一般，也在不断学习中。

eBPF是内核观测技术，我目前还主要学习Kernel里面的数据结构与算法应用。

 

hellokitty_bean

楼主谦虚了咯！

我现在的感觉是：只有先了解了linux kernel才可以学习观测，否则即便观测到了，却不能认知它的本源，是否容易变成盲人骑瞎马？

jobszheng5

hellokitty_bean 发表于 2024-5-6 09:17 楼主谦虚了咯！ 我现在的感觉是：只有先了解了linux kernel才可以学习观测，否则即便观测到了，却不能认 ...

两条腿走路，eBPF是一种工具。

使用放大镜可以观察了解世界，使用显微镜又是另一种观察与了解世界了。

hellokitty_bean

嗯嗯嗯，有道理！！！两条腿走路，兼收并蓄。。。。是个好主意！

freebsder

dtrace了解一下，20年前sun在solaris干的，现在好像可以用在linux下面了。linux特别想要的一个是dtrace另一个是zfs

nian1206

标记一下，后面用到了好学习学习，非常感谢分享，好人一生平安！