让BPF程序在Linux中使用USDT探测(Dtrace)

Question

所以我按照这个链接将BPF程序附加到用户空间探测器，Dtrace格式(请参阅用户静态定义的跟踪点一节)。

C程序：

#include <sys/sdt.h>
int main() {
DTRACE_PROBE("hello-usdt", "probe-main");
}

确保包含探测信息的检查：

readelf -n hello_usdt
stapsdt              0x00000033   NT_STAPSDT (SystemTap probe descriptors)
Provider: "hello_usdt"
Name: "probe-main"
Location: 0x0000000000400535, Base: 0x00000000004005d4, Semaphore: 0x0000000000000000
Arguments: 

还有tplist：

sudo /usr/share/bcc/tools/tplist -l /path/to/hello_usdt
/path/to/hello_usdt "hello_usdt":"probe-main"

BPF计划的内容(美元/年)：

from bcc import BPF, USDT
bpf_source = """
#include <uapi/linux/ptrace.h>
int trace_binary_exec(struct pt_regs *ctx) {
u64 pid = bpf_get_current_pid_tgid();
bpf_trace_printk("New hello_usdt process running with PID: %d", pid);
}
"""
usdt = USDT(path = "./hello_usdt")
usdt.enable_probe(probe = "probe-main", fn_name = "trace_binary_exec")
bpf = BPF(text = bpf_source, usdt = usdt)
bpf.trace_print()

故障描述：

sudo ./usdt.py 
Traceback (most recent call last):
File "./usdt.py", line 13, in <module>
usdt.enable_probe(probe = "probe-main", fn_name = "trace_binary_exec")
File "/usr/lib/python3/dist-packages/bcc/usdt.py", line 154, in enable_probe
probe
bcc.usdt.USDTException: failed to enable probe 'probe-main';
a possible cause can be that the probe requires a pid to enable

我也尝试过：

1. 在BPF程序中给出完整的可执行文件(hello_usdt)：

usdt = USDT(path = "/full/path/to/hello_usdt")

2. 将上面的行替换为PID值(./hello_usdt&)，直接在BPF程序中获取PID：

usdt = USDT(pid=1234)

3. 安装python-bcc包后，尝试使用python2.7和3.7

到目前为止运气不佳。非常感谢您的帮助。谢谢

Answer 1

我想我发现了原始链接中的错误。我修补了bcc工具的源文件(函数bcc_usdt_enable_probe和更深层次)，编译并安装了这个带有一些printfs的自定义版本，以跟踪它失败的原因。事实证明，在解析探测列表时，我的程序中定义的探测被视为带有附加引号的字符串，类似于这样："探针主体"&"；。所以我换了一行：

DTRACE_PROBE("hello-usdt", "probe-main");

带有

DTRACE_PROBE("hello-usdt", probe-main);

我做的第二个更改是在python脚本中。我没有详细说明，但看起来这一行是错误的(语法)：

bpf = BPF(text = bpf_source, usdt = usdt)

python编译器抱怨不知道usdt，然后我发现其他实现使用usdt_contexts=[usdt]。所以我用替换了上面的行

bpf = BPF(text = bpf_source, usdt_contexts = [usdt])

然后在源代码中替换了探测宏，以包括额外的时间戳：

DTRACE_PROBE1("hello_usdt", probe-main, tv.tv_sec);

还更新了python脚本：

#!/usr/bin/python3
from bcc import BPF, USDT
bpf_source = """
#include <uapi/linux/ptrace.h>
int trace_binary_exec(struct pt_regs *ctx) {
u64 pid = bpf_get_current_pid_tgid();
u64 ts=0;
bpf_usdt_readarg(1, ctx, &ts);
bpf_trace_printk("PROBE-HIT (PID: %d), TS: %lu\n", pid, ts);
}
"""
usdt = USDT(path = "/path/to/hello_usdt")
usdt.enable_probe(probe = "probe-main", fn_name = "trace_binary_exec")
bpf = BPF(text = bpf_source, usdt_contexts = [usdt])
bpf.trace_print()

并运行：

sudo ./usdt.py
b'      hello_usdt-18920 [000] .... 300066.568941: 0x00000001: PROBE-HIT (PID: 18920), TS: 1593460390'
b'      hello_usdt-18920 [000] .... 300067.569284: 0x00000001: PROBE-HIT (PID: 18920), TS: 1593460391'
b'      hello_usdt-18920 [000] .... 300068.569509: 0x00000001: PROBE-HIT (PID: 18920), TS: 1593460392'
b'      hello_usdt-18920 [000] .... 300069.569935: 0x00000001: PROBE-HIT (PID: 18920), TS: 1593460393'
b'      hello_usdt-18920 [000] .... 300070.570362: 0x00000001: PROBE-HIT (PID: 18920), TS: 1593460394'
b'      hello_usdt-18920 [000] .... 300083.574478: 0x00000001: PROBE-HIT (PID: 18920), TS: 1593460407'
b'      hello_usdt-18920 [000] .... 300084.574782: 0x00000001: PROBE-HIT (PID: 18920), TS: 1593460408'
b'      hello_usdt-18920 [000] .... 300085.575214: 0x00000001: PROBE-HIT (PID: 18920), TS: 1593460409'
b'      hello_usdt-18920 [000] .... 300086.575630: 0x00000001: PROBE-HIT (PID: 18920), TS: 1593460410'

我不知道为什么原始链接中的实现不同。也许是BPF/Dtrace版本的问题，没有详细说明。然而，我没有找到其他实现来覆盖基于C的基本程序的所有步骤，而是找到了一些片段来帮助我解决这个问题。