Kprobes 是 Linux 中的輕量級裝置，可以將斷點插入到正在運行的內核之中。Kprobes 可以地收集處理器寄存器和全局數據結構等調試信息。甚至可以使用 Kprobes 來修改 寄存器值和全局數據結構的值。

Kprobes 向運行的內核中給定地址寫入斷點指令，插入一個探測器。 執行被探測的指令會導致斷點錯誤。Kprobes 鉤住（hook in）斷點處理器并收集調試信息。Kprobes 甚至可以單步執行被探測的指令。

內核編譯中開啟CONFIG_KPROBE_EVENTS=y.即可動態添加kprobe。

?

1.???工作原理

用戶指定一個探測點，并把一個用戶定義的處理函數關聯到該探測點，當內核執行到該探測點時，相應的關聯函數被執行，然后繼續執行正常的代碼路徑。

kprobe實現了三種類型的探測點: kprobes, jprobes和kretprobes (也叫返回探測點)。?kprobes是可以被插入到內核的任何指令位置的探測點，jprobes則只能被插入到一個內核函數的入口，而kretprobes則是在指定的內核函數返回時才被執行。

l?????安裝一個kprobes探測點，kprobe先備份被探測的指令，然后使用斷點指令來取代被探測指令的頭一個或幾個字節。

l?????當執行到探測點時，將因運行斷點指令而執行trap操作，保存CPU的寄存器，調用相應的trap處理函數。

l?????trap處理函數將調用相應的notifier_call_chain中注冊的所有notifier函數，kprobe正是通過向trap對應的notifier_call_chain注冊關聯到探測點的處理函數來實現探測處理的。

l?????首先執行關聯到探測點的pre_handler函數，并把相應的kprobe struct和保存的寄存器作為該函數的參數，最后kprobe執行post_handler。等所有這些運行完畢后，最后緊跟在被探測指令后的指令流。

如下圖：

?

2.???kprobe初始化

kprobes作為一個模塊，其初始化函數為init_kprobes，代碼路徑kernel/kprobes.c

?

3.???通過ftrace接口使用

可以通過

/sys/kernel/debug/tracing/kprobe_events,

原文鏈接

總結

以上是生活随笔為你收集整理的Linux中动态探针kprobes的全部內容，希望文章能夠幫你解決所遇到的問題。

如果覺得生活随笔網站內容還不錯，歡迎將生活随笔推薦給好友。