内核uprobes使用介绍

最新推荐文章于 2025-06-17 20:46:25 发布

原创最新推荐文章于 2025-06-17 20:46:25 发布 · 1w 阅读

3 ·

CC 4.0 BY-SA版权

内核调测专栏收录该内容

0 篇文章

订阅专栏

本文介绍了内核中的uprobe事件追踪工具，它是kprobe的用户态版本，用于在用户空间代码中设置探针。内容包括uprobe的启用、命令格式、如何查看事件监控文件及设置和清除检测点的示例。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

简介

uprobe 事件tracer工具是在内核3.5开发期间何入内核主线版本的，虽然uprobe已经存在很久了。uprobe是和kprobe类似的调试方法。编译内核时通过打开CONFIG_UPROBE_EVENT=y来时能该特性。和kprobe类似，使用时不需要通过current_tracer来激活，而是检测点通过/sys/kernel/debug/tracing/uprobe_events设置，通过/sys/kernel/debug/tracing/events/uprobes/<EVENT>/enabled来使能。

然而，和kprobe不同的是，使用时需要用户自己计算探测点在用户态文件中的偏移，可以通过nm等工具，这还是有点麻烦的。

命令格式

p[:[GRP/]EVENT] PATH:SYMBOL[+offs] [FETCHARGS]   : Set a probe

GRP       : Group name. If omitted, use "uprobes" for it.
EVENT       : Event name. If omitted, the event name is generated
          based on SYMBOL+offs.
PATH       : path to an executable or a library.
SYMBOL[+offs]   : Symbol+offset where the probe is inserted.

FETCHARGS   : Arguments. Each probe can have up to 128 args.
%REG       : Fetch register REG

查看事件监控文件

可以通过/sys/kernel/debug/tracing/uprobe_profile来查看某一检测事件命中的总数和没有命中的总数。第一列是事件名称，第二列是事件命中的次数，第三列是事件miss-hits的次数。

使用举例

如下定义一个新的检测事件：

echo 'p: /bin/bash:0x4245c0' > /sys/kernel/debug/tracing/uprobe_events

这样就在可执行文件/bin/bash的偏移0x4245c0处设置了检测点。

要清空所有的检测点，如下：

echo > /sys/kernel/debug/tracing/uprobe_events

下面的例子给出了获得某可执行文件符号地址的方法：

    # cd /sys/kernel/debug/tracing/
    # cat /proc/`pgrep bash`/maps | grep /bin/bash | grep r-xp
   00400000-004e1000 r-xp 00000000 08:01 786439                             /bin/bash
    # objdump -T /bin/zsh | grep -w free
    00000000004ab500 g    DF .text   0000000000000009 Base        free

0x4ab500是可执行文件/bin/zsh中哦给你free函数的偏移，可以看出/bin/bash的加载地址是0x00400000，因此设置free处为检测点的命令如下：

echo 'p /bin/bash:0x4ab500 %ip %ax' > uprobe_events

可以通过uprobe_events来查看注册的事件：

# cat uprobe_events
p:uprobes/p_bash_0x4ab500 /bin/bash:0x00000000004ab500 arg1=%ip arg2=%ax

在正确的注册后，每个检测点事件都是禁止的，要检测这个事件，需要手动去激活它：

# echo 1 > events/uprobes/enable

在程序执行了一段事件后，禁止它，然后可以查看监控到的事件：

# sleep 20
# echo 0 > events/uprobes/enable

# cat trace

    # tracer: nop
    #
    #           TASK-PID    CPU#    TIMESTAMP FUNCTION
    #              | |       |          |         |
                 zsh-24842 [006] 258544.995456: p_bash_0x46420: (0x446420) arg1=446421 arg2=79
                 zsh-24842 [007] 258545.000270: p_bash_0x46420: (0x446420) arg1=446421 arg2=79
                 zsh-24842 [002] 258545.043929: p_bash_0x46420: (0x446420) arg1=446421 arg2=79
                 zsh-24842 [004] 258547.046129: p_bash_0x46420: (0x446420) arg1=446421 arg2=79