Linux动态观测神器bpftrace的5种探针、7个常见内置变量和常见操作？

简介

bpftrace使用 LLVM 作为后端将脚本编译为 BPF 字节码，利用 BCC（BPF Compiler Collection）与 Linux BPF 系统进行交互。

5种探针

kprobe：跟踪内核函数的入口。
kretprobe：跟踪内核函数的返回。
uprobe：跟踪用户空间函数的入口。
uretprobe：跟踪用户空间函数的返回。
tracepoint：跟踪内核中的 tracepoint。

内置变量：

arg0 到 argN：代表内核或用户空间探针的参数。
retval：代表内核或用户空间探针的返回值。
pid：当前进程的进程 ID。
tid：当前线程的线程 ID。
comm：当前进程的命令名称。
cpu：当前进程所在的 CPU。
nsecs：自系统启动以来的纳秒数。

安装

添加 BPFtools 仓库：

curl https://repos.baslab.org/rhel/7/bpftools/bpftools.repo --output /etc/yum.repos.d/bpftools.repo

安装 bpftrace：