bcc学习总结一

最新推荐文章于 2025-06-04 16:43:40 发布

lindorx

最新推荐文章于 2025-06-04 16:43:40 发布

阅读量3.1k

点赞数 2

CC 4.0 BY-SA版权

分类专栏：笔记 python linux

本文链接：https://blog.youkuaiyun.com/lindorx/article/details/112348098

linux 同时被 3 个专栏收录

14 篇文章

订阅专栏

python

10 篇文章

订阅专栏

笔记

8 篇文章

订阅专栏

基本结构

#导入库
from bcc import BPF
#使用BPF()执行bpf代码
BPF(text="""
#C语言代码段
"""
)
#对bpf的处理代码

C语言代码编写

不需要写main函数，目前知道可以写两种函数，以“kprobe__”开头的函数和自定义函数。bpf函数至少要包含一个参数“ctx”，即使不使用也应该存在，可以声明为“void *ctx”。
以“kprobe__”开头的函数，其余的名称部分表示要检测的函数，比如“kprobe__sys_clone”，表示要检测的函数是“sys_clone()”。例：

from bcc import BPF
#
BPF(text=
"""
int kprobe__sys_clone(void *ctx) 
{
    bpf_trace_printk("Hello, World!\\n"); 
    return 0; 
}
"""
).trace_print()

自定义函数需要另外指定其要关联的事件或其他，由”attach_*“类的函数实现。举例如下：

bpf_text="""
int hello(void *ctx) {
    bpf_trace_printk("Hello, World!\\n");
    return 0;
}
"""
b = BPF(text=bpf_text)
#将“hello()”函数关联clone函数。
b.attach_kprobe(event=b.get_syscall_fnname("clone"), fn_name="hello")

print("%-18s %-16s %-6s %s" % ("TIME(s)", "COMM", "PID", "MESSAGE"))
while 1:
    try:
        (task, pid, cpu, flags, ts, msg) = b.trace_fields()
    except ValueError:
        continue
    print("%-18.9f %-16s %-6d %s" % (ts, task, pid, msg))

部分bpf函数说明

bpf_trace_printk() : 相当于精简版的printk，将数据输出到trace_pipe（/sys/kernel/debug/tracing/trace_pipe），此函数有一定限制，最大3个参数，一个%s，但是由于trace_pipe是全局共享的，对于并发程序而言有冲突，因此更建议使用BPF_PERF_OUTPUT()。

BPF_HASH() : 创建散列，例如“BPF_HASH(test)”创建了一个名为test的散列，相关操作函数如下：

update() : 更新散列的内容，例如“u64 key=0，num=1;test.update(&key,&num);”，将num的值与key关联起来。
delete() : 删除指定key，例如“u64 key=0;test.delete(&key);”，即删除key=0的列。
lookup() : 获取指定key的值，如果对应的key没有值，则返回"NULL"。例如“u64 key=0,num;num=test.lookup(&key)”，获取key等于0的列的值。

bpf_ktime_get_ns() : 获取当前时间，精确到纳秒。例如“u64 ts=bpf_ktime_get_ns()”。

BPF_PERF_OUTPUT() : 命名输出管道。例如“BPF_PERF_OUTPUT(test)”,命名了一个名为"test"的管道。操作函数如下：

perf_submit() : 将数据输出到perf环缓冲区读取。例如“test.perf_submit(ctx,&data,sizeof(data))”。ctx为函数的固定参数，data为自定义数据结构，最后一个参数为data的大小。

bpf_get_current_pid_tgid() : 获取当前进程pid和tgid，其中pid位于低32位，tgid位于高32位，对于多线程程序而言，tgid是相同的，需要用pid来区分。

bpf_get_current_comm() : 获取当前进程的进程名。例：

#include <linux/sched.h>
int hello()
{
    char comm[TASK_COMM_LEN];
    bpf_get_current_comm(&comm,sizeof(comm));
    return 0;
}

部分bcc函数说明****

BPF() : 用于执行bpf程序的主要函数，使用方法“b = BPF(text=C代码文本)”。将会返回一个引用，可以用通过此引用控制bpf程序。部分操作函数如下:

trace_print() : 打印出trace_pipe管道的内容。例如“b.trace_print()”。
get_syscall_fnname() : 获取指定系统调用函数名。例如“b.get_syscall_fnname("clone")”，返回“__x64_sys_clone”。
attach_kprobe() : 将函数与内核事件关联，用于检测指定事件。例如“b.attach_kprobe(event=b.get_syscall_fnname("clone"), fn_name="hello")”，event指定事件，fn_name，指定bpf代码里的函数名，比如这里就是hello()函数。
trace_fields() : 从trace_pipe返回一组固定格式的字段，与trace_print()类似，但是官方建议使用 BPF_PERF_OUTPUT()。使用方法“(task, pid, cpu, flags, ts, msg) = b.trace_fields()”，其中msg为bpf代码中向trace_pipe输出的数据。
open_perf_buffer() : 打开perf缓冲区，并指定一个回调函数，当有数据时，自动使用该函数处理。
perf_buffer_poll() : 等待perf缓冲区的内容。

event() : 获取从 BPF_PERF_OUTPUT()传递的事件。使用方法如下所示：

from bcc import BPF

b = BPF(text="""
//。。。bpf代码。。。
BPF_PERF_OUTPUT(events);
//。。。bpf代码。。。
"""
)
#。。。bcc代码。。。

#定义回调函数
def print_event(cpu, data, size)
    event = b["events"].event(data) #获取由bpf函数perf_submit输出的数据
    #。。。代码省略。。。

# 循环并回调到print_event
b["events"].open_perf_buffer(print_event)
while 1:
    b.perf_buffer_poll()