eBPF 入门开发实践指南五：在 eBPF 中使用 uprobe 捕获 bash 的 readline 函数调用

最新推荐文章于 2025-12-12 13:33:39 发布

原创

最新推荐文章于 2025-12-12 13:33:39 发布 · 1.9k 阅读

2 ·

CC 4.0 BY-SA版权

文章标签：

#bash #开发语言 #linux #ebpf #服务器

本文介绍了如何利用eBPF的uprobe探针捕获bash的readline函数调用，以获取用户输入的命令行。uprobe允许在用户空间动态插桩，适用于解析内核无法处理的流量。示例代码展示了如何定义和使用SEC宏与BPF_KRETPROBE宏来实现这一功能。通过eunomia-bpf工具链，可以编译和运行eBPF程序，最终在内核日志中查看readline函数的返回值。

eBPF (Extended Berkeley Packet Filter) 是 Linux 内核上的一个强大的网络和性能分析工具，它允许开发者在内核运行时动态加载、更新和运行用户定义的代码。

本文是 eBPF 入门开发实践指南的第五篇，主要介绍如何使用 uprobe 捕获 bash 的 readline 函数调用。

什么是uprobe

uprobe是一种用户空间探针，uprobe探针允许在用户空间程序中动态插桩，插桩位置包括：函数入口、特定偏移处，以及函数返回处。当我们定义uprobe时，内核会在附加的指令上创建快速断点指令（x86机器上为int3指令），当程序执行到该指令时，内核将触发事件，程序陷入到内核态，并以回调函数的方式调用探针函数，执行完探针函数再返回到用户态继续执行后序的指令。

uprobe基于文件，当一个二进制文件中的一个函数被跟踪时，所有使用到这个文件的进程都会被插桩，包括那些尚未启动的进程，这样就可以在全系统范围内跟踪系统调用。

uprobe适用于在用户态去解析一些内核态探针无法解析的流量，例如http2流量（报文header被编码，内核无法解码），https流量（加密流量，内核无法解密）。

使用 uprobe 捕获 bash 的 readline 函数调用

uprobe 是一种用于捕获用户空间函数调用的 eBPF 的探针，我们可以通过它来捕获用户空间程序调用的系统函数。

例如，我们可以使用 uprobe 来捕获 bash 的 readline 函数调用，从而获取用户在 bash 中输入的命令行。示例代码如下：

#include <vmlinux.h>
#include <bpf/bpf_helpers.h>
#include <bpf/bpf_tracing.h>

#define TASK_COMM_LEN 16

最低0.47元/天解锁文章