c语言 - 为什么样本/bpf 内的 ebpf 程序不起作用？

Question

目标：在4.18.0的内核源树中编写一个新的ebpf示例，编译并执行。

问题：在运行sudo ./mine时对其进行编译后，它只是终止。

mine_kern.c

#include <uapi/linux/bpf.h>
#include <uapi/linux/if_ether.h>
#include <uapi/linux/ip.h>
#include <linux/in.h>
#include <linux/if_packet.h>
#include "bpf_helpers.h" 
int icmp_filter(struct __sk_buff *skb){
        int proto = load_byte(skb, ETH_HLEN + offsetof(struct iphdr, protocol));
        if(proto == IPPROTO_ICMP && skb->pkt_type == PACKET_OUTGOING){
           return -1;
        } else {
           return 0;
        }
}
char _license[] SEC("license") = "GPL";

mine_user.c

#include <stdio.h>
#include <assert.h>
#include <linux/bpf.h>
#include <bpf/bpf.h>
#include "bpf_load.h"
#include "sock_example.h"
#include <unistd.h>
#include <arpa/inet.h>    
int main(int ac, char **argv)
{
    char filename[256];
    FILE *f;
    int i, sock;
    snprintf(filename, sizeof(filename), "%s_kern.o", argv[0]);
    if (load_bpf_file(filename)) {
        printf("%s", bpf_log_buf);
        return 1;
    }   
    sock = open_raw_sock("lo");
    assert(setsockopt(sock, SOL_SOCKET, SO_ATTACH_BPF, prog_fd,
              sizeof(prog_fd[0])) == 0);
    f = popen("ping -c5 localhost", "r");
    (void) f;
    char buf[65535];
    for(i=0; i<20; i++){
           int res = recvfrom(sock, buf, sizeof(buf), 0, NULL, 0);
           printf("res=%dn", res);
     } 
     return 0;
}

在需要的情况下，我还修改了samples/bpf中的Makefile，在CC_5中添加mine_user.c和mine_kern.c。问题：此代码有什么问题？

Answer 1

由于load_bpf_file()加载功能的方式，您需要将BPF Program功能放在单独的ELF部分中。例如，我可以加载程序：

SEC("socket")
int icmp_filter(struct __sk_buff *skb){
        ...
}

之后，运行程序时我会看到res=-1的连续性。这是因为您的插座是由sock_example.h设置为非阻滞的，来自CC_11：

sock = socket(PF_PACKET, SOCK_RAW|SOCK_NONBLOCK|SOCK_CLOEXEC, htons(ETH_P_ALL));

因此，当没有数据包接收时，recvfrom()只需使用-1返回(并将errno设置为-EGAIN-您应该考虑打印strerror(errno)(，而不是等待数据包。因此，您可能也需要更改。