我想do_sys_open
文件名参数作为字符串。为此,我在kprobetrace.txt之后添加了kprobe。一个简单的探针,它给出文件名为十六进制适用于两种x86/arm64
。
x86: echo 'p:myprobe do_sys_open filename_string=%si' > kprobe_events
arm64: echo 'p:myprobe do_sys_open filename_string=%x1' > kprobe_events
但是,更改探测器以获取文件名的字符串适用于x86
但不适用于arm64
(即无法filename_string=(fault)
获取字符串表示形式(
约86:
echo 'p:myprobe do_sys_open filename_string=+0(%si):string' > kprobe_events
output:
adb-30551 [001] d... 4570187.407426: myprobe: (do_sys_open+0x0/0x270) filename_string="/dev/bus/usb/001/001"
手臂64:
echo 'p:myprobe do_sys_open filename_string=+0(%x1):string' > kprobe_events
output:
netd-4621 [001] d... 8491.094187: myprobe: (do_sys_open+0x0/0x24c) filename_string=(fault)
为了检查我是否正确使用了手臂 ABI,我尝试使用 perf
设置探头。从/sys/kernel/debug/tracing/kprobe_events
看到的perf创建的探针是相似的
./perf4.14 probe 'do_sys_open filename:string'
/d/tracing # cat kprobe_events
p:kprobes/myprobe do_sys_open filename_string=+0(%x1):string
但在这种情况下,性能探针也失败了(即filename_string=""
(。
./perf4.14 record -e probe:do_sys_open -aR sleep 3
/data/local/tmp # ./perf4.14 script
perf4.14 4587 [007] 7490.809036: probe:do_sys_open: (ffffff8337060148) filename_string=""
sleep 4588 [003] 7490.817937: probe:do_sys_open: (ffffff8337060148) filename_string=""
设置手臂kprobe_events
以将参数作为字符串获取的正确方法是什么?我是否错误地使用了 ABI?
在内核版本>= 4.20
上,您可以使用 $argN
获取第 N
个函数参数。从内核 4.20 kprobetrace.rst 开始:
FETCHARGS : Arguments. Each probe can have up to 128 args.
.....
.....
$argN : Fetch the Nth function argument. (N >= 1) (*1)
由于 filename
是 do_sys_open()
的第二个参数,你应该在 kprobe 事件中给出$arg2
,如下所示:
echo 'p:myprobe do_sys_open filename_string=+0($arg2):string' > kprobe_events
这应该适用于x86
和arm64
。