这才是kprobe工作的本质

不念不忘少年蓝@ 2022-10-26 12:44 112阅读 0赞

【推荐阅读】

[深入探究Linux Kprobe机制][Linux Kprobe]

[eBPF在android上的使用][eBPF_android]

## kprobe的工作过程大致如下: ##

1.  注册kprobe。注册的每个kprobe对应一个kprobe结构体，该结构体记录着插入点（位置），以及该插入点本来对应的指令original\_opcode；
2.  替换原有指令。使能kprobe的时候，将插入点位置的指令替换为一条异常（BRK）指令，这样当CPU执行到插入点位置时会陷入到异常态；
3.  执行pre\_handler。进入异常态后，首先执行pre\_handler，然后利用CPU提供的单步调试（single-step）功能，设置好相应的寄存器，将下一条指令设置为插入点处本来的指令，从异常态返回；
4.  再次陷入异常态。上一步骤中设置了single-step相关的寄存器，所以original\_opcode刚一执行，便会二进宫：再次陷入异常态，此时将signle-step清楚，并且执行post\_handler，然后从异常态安全返回。

步骤2，3，4便是一次kprobe工作的过程，它的一个基本思路就是将本来执行一条指令扩展成执行**kprobe->pre\_handler--->指令--->kprobe-->post\_handler**这样三个过程。下面详细解释每个过程：

**指令替换过程：**

下图中蓝色区域表示内存，红色标明了地址，绿色部分代表一条指令。

![format_png][]

上图表示CPU执行到0xffffffc000162914（sys\_write）处，该处指令为BRK，于是内核陷入异常态。在异常态中，内核通过BRK指令的错误码判断这是一个kprobe异常，于是进入了kprobe处理函数。kprobe异常处理函数会根据发生异常的地址来找到对应的kprobe（kprobe的addr域记录着地址），执行kprobe的pre\_handler函数，然后设置single-step相关的寄存器，为下一步执行原指令时发生single-step异常做准备。那么紧接着就是设置元之灵的地址了，我们知道0xffffffc000162914处已经被替换成了BRK指令，原指令保存在kprobe结构体中，怎么保证下一步执行到原指令呢？最简单的做法是申请一块内存，然后将原指令复制到这块内存开始处，设置PC寄存器位该内存的首地址，这样当代码从异常态返回时，执行的第一条指令便是原指令了！

**原指令得到执行，二进宫：**

经过上面一个步骤，pre\_handler得到了执行，从异常态返回之后，原指令也得到了执行，但是由于设置了single-step模式，所以执行完原指令，马上又陷入了异常态，二进宫：

![format_png 1][]

这次进入异常态后，先清一下single-step相关的寄存器，确保下次从异常返回时的指令不会由于single-step发生三进宫，然后执行post\_handler，最后将地址0xffffffc000162918写入到PC寄存器，为什么是这个数值呢？它正是紧接着0xffffffc000162914的下一条指令的地址，有没有发现，至此我们已经完成了pre\_handler->原指令->post\_handler这样三个阶段，也就是说kprobe要做的事情都做完了，此时的工作就是收拾下残局，返回到正常的指令流程，我们的探测点在0xffffffc000162914处，下一条指令应该就是0xffffffc000162918了，所以把此值写入PC寄存器，让一切恢复正轨！

**kprobe工作结束，走上正轨：**

![format_png 2][]

上面把PC设置成了0xffffffc000162918，所以从异常态返回时，CPU就走上了正轨接着朝下面执行了，一个BRK指令引发的反映再次就搞一段落了。

但是每次当CPU执行到0xffffffc000162914处，都会触发上面的一连串操作，kprobe的机制也就是从一个BRK指令开始了。

![虚线阴影分割线][format_png 3]

![format_png 4][]

5T技术资源大放送！包括但不限于：C/C++，Arm, Linux，Android，人工智能，单片机，树莓派，等等。在公众号内回复「peter」，即可免费获取！！

![format_png 5][] **记得点击****分享****、****赞****和****在看****，给我充点儿电吧**

[Linux Kprobe]: http://mp.weixin.qq.com/s?__biz=MzIxMjE1MzU4OA%3D%3D&chksm=8f5d9c52b82a1544e0498fa55ec846a03ae9633793858817500fecb047a0517beeb62d8bdf7a&idx=1&mid=2648922569&scene=21&sn=3594a7c7af7dcfa2810f3eafde2d8311#wechat_redirect
[eBPF_android]: http://mp.weixin.qq.com/s?__biz=MzIxMjE1MzU4OA%3D%3D&chksm=8f5d9f85b82a169367caf6403465e333a2bdeb659e83bc85daa50ba33863bd01936f1fe728c5&idx=2&mid=2648922654&scene=21&sn=8ed8e52d53ed7f2b7be3c229a161c6f6#wechat_redirect
[format_png]: /images/20221024/4f944ee7805647e091515133d14b8531.png
[format_png 1]: /images/20221024/489a6064a46743dc9252e2b226ef947c.png
[format_png 2]: /images/20221024/dbb88ab5b23448908d2a0512fa0135c8.png
[format_png 3]: /images/20221024/7d2a9306ea2046f78e415985416491b6.png
[format_png 4]: /images/20221024/bc4021028a00485cae5daba590c15a1a.png
[format_png 5]: /images/20221024/9046fae640f341e2b2a683fc8cd83a46.png