内核bpftrace的实现原理

bpftrace 使用与原理

bpftrace 使用命令

# bpftrace -e 'BEGIN { printf("hello"); }'

# bpftrace -e 'tracepoint:syscalls:sys_enter_accept { printf("accept"); }'

# bpftrace -e 'tracepoint:syscalls:sys_enter_accept4 { printf("accept4"); }'

# bpftrace -e 'tracepoint:syscalls:sys_enter_connect { printf("connect"); }'

probes /filter/ { action }

probes ：事件，tracepoint, kprobe, kretprobe, uprobe。两个特殊事件

BEGIN/END，用于脚本开始和结束处执行

filter ：过滤条件，事件触发时，判断条件，例如：/pid == 3245/，表示 pid

为 3245 的进程执行。

action ：具体执行的操作，例如：{ printf("close\n");} 打印 close

probes

缩写

类型

描述

w

基于内存的监测点事件