[原创] 浅浅地了解一下Linux内核追踪技术

jobszheng5 2024-5-2 01:54 楼主

# 浅浅地了解一下Linux内核追踪技术
  我们平时编写嵌入式Linux程序主要分为两类：Linux的应用程序，即运行在用户层的程序；Linux Kernel驱动，即需要编译到Kernel。前者，是在Linux Kernel的框架下运行。当出现bug时，kernel会告警，甚至直接kill掉运行中的程序；而后者，如果在运行中出现则会直接crash掉内核。今天学习分享的内容便是kernel调试技术。
## Ftrace
  Ftrace，名字源于Function Trace，基于静态代码插桩(Stub)技术，不需要用户通过额外编程来定义trace行为。静态代码插桩技术比较可靠。不会因为用户使用不当而导致内核崩溃。Ftrace利用GCC的profile特性，在所有函数入口处添加一段插桩代码，ftrace重载这段代码来实现trace功能。ftrace编写了自己的mcount stub函数，在使用GCC编译kernel添加-pg选项，之后便会在每个函数入口处加入mcount的调用代码来实现trace功能。在配置了Ftrace相关编译选项后，ftrace通过debugfs文件系统向用户空间提供访问接口。
  常用的trace跟踪器比如Function，Function-graph，blk。
**Ftrace Function Trace**
  function跟踪器会记录当前系统运行过程中的所有函数。注意，这里是所有函数。于是，我们要引出来一个动态ftrace的功能。由于Function功能会打印大量调试信息，所以文中建议使用动态ftrace。动态ftrace使用set_ftrace_fliter和set_ftrace_notrace两个文件，其中，前者设置要trace的函数，后都则过滤掉不要跟踪的函数。
## Perf工具
  大名鼎鼎地perf工具，是一款Linux性能分析工具，利用CPU，性能监控单元（PMU）和软件计数等进行性能分析。在实际调试过程，一般使用perf record命令，并添加不少选项：
-e：选择一个事件
-p：指定一个进程ID来采集特定进程的数据
-o：写入采集数据的数据文件
  之后，再使用perf report命令来解析perf record产生的数据，并给出分析结果。
  有幸利用perf工具调试过程，并实地观察了perf record和perf report，坦白讲，真不是我这水平所能承受的。
## eBPF工具
  eBPF本质上，是一种内核代码注入技术，注入的大致步骤如下：
1. 内核实现了一个eBPF虚拟机
2. 在用户态使用C语言等高级语言编写代码，并通过LLVM编译器将编译成BPF目标码
3. 在用户态通过调用bpf()接口函数把BPF目标码注入内核之中
4. 内核通过JIT编译器把BPF目标码转换为本地代码
5. 内核提供一系列hook来运行BPF代码
6. 内核态和用户态使用一套名为map的机制来进行通信

eBPF的优势，其在于其不修改内核代码的情况即可灵活修改内核处理策略。也是目前主流的内核注入技术，也是目前发展最快的调试技术。继续关注，继续学习。