eBPF, отслеживать значения длиннее размера стека? - PullRequest
Новая
       25

eBPF, отслеживать значения длиннее размера стека?

0 голосов
/ 05 декабря 2018

Я расширяю программу, которая принимает аргументы отслеживаемой функции и печатает ее.Все отлично работает с числовыми аргументами и короткими строками.Но не ясно, как обращаться с длинной строкой, длина которой превышает размер стека в eBPF (который ограничен 512 байтами).

В приведенном ниже примере строка ограничена 80 байтами, конечно, ее можно увеличить додо 512, но как отследить более длинные строки?

Пример программы на C с отслеживаемой функцией, которая называется "ameba" 

#include <stdio.h>
#include <strings.h>
#include <stdlib.h>
#include <time.h>
#include <unistd.h>

char * ameba(char * s1);

int main(void) {
    printf("%s\n", ameba("verylonglongstring...1111111111111111111111111111111111111111111111111111111111111111111111111111"));
}

char * ameba(char * s1) {
    char *s;
    s = (char *) malloc(128);
    sleep(1);
    snprintf(s, 128, "ameba: %s", s1);
    return s;
}

Пример кода Go 

package main

import "C"
import (
    "bytes"
    "encoding/binary"
    "fmt"
    "os"
    "os/signal"
    "unsafe"

    bpf "github.com/iovisor/gobpf/bcc"
)

const source string = `
#include <uapi/linux/ptrace.h>
#include <linux/sched.h>

struct ameba_event_t {
        u32 pid;
        char comm[TASK_COMM_LEN];
        char arg1[80];
} __attribute__((packed));

BPF_PERF_OUTPUT(ameba_events);

int get_input_args(struct pt_regs *ctx) {
        struct ameba_event_t event = {};
        if (!PT_REGS_PARM1(ctx))
                return 0;
        event.pid = bpf_get_current_pid_tgid();
        bpf_get_current_comm(&event.comm, sizeof(event.comm));
        bpf_probe_read(&event.arg1, sizeof(event.arg1), (void *)PT_REGS_PARM1(ctx));
        ameba_events.perf_submit(ctx, &event, sizeof(event));

        return 0;
}
`

type amebaEvent struct {
    Pid uint32
    Comm [16]byte
    Arg1 [80]byte
}

func main() {
    m := bpf.NewModule(source, []string{})
    defer m.Close()

    amebaUprobe, err := m.LoadUprobe("get_input_args")
    if err != nil {
        fmt.Fprintf(os.Stderr, "Failed to load get_input_args: %s\n", err)
        os.Exit(1)
    }

    err = m.AttachUprobe("/home/lesovsky/Git/sandbox/ameba", "ameba", amebaUprobe, -1)
    if err != nil {
        fmt.Fprintf(os.Stderr, "Failed to attach input_args: %s\n", err)
        os.Exit(1)
    }

    table := bpf.NewTable(m.TableId("ameba_events"), m)

    channel := make(chan []byte)

    perfMap, err := bpf.InitPerfMap(table, channel)
    if err != nil {
        fmt.Fprintf(os.Stderr, "Failed to init perf map: %s\n", err)
        os.Exit(1)
    }

    sig := make(chan os.Signal, 1)
    signal.Notify(sig, os.Interrupt, os.Kill)

    fmt.Printf("%10s\t%s\t%s\n", "PID", "COMMAND", "ARG1")
    go func() {
        var event amebaEvent
        for {
            data := <-channel
            err := binary.Read(bytes.NewBuffer(data), binary.LittleEndian, &event)
            if err != nil {
                fmt.Printf("failed to decode received data: %s\n", err)
                continue
            }

            comm := (*C.char)(unsafe.Pointer(&event.Comm))
            query := (*C.char)(unsafe.Pointer(&event.Query))
            fmt.Printf("%10d\t%s\t%s\n", event.Pid, C.GoString(comm), C.GoString(query))
        }
    }()

    perfMap.Start()
    <-sig
    perfMap.Stop()
}

Я читал о том, что BPF_MAP_TYPE_PERCPU_ARRAY может помочь в этом случае, но мне не ясно, как его использовать.

РЕДАКТИРОВАТЬ: программа Go была изменена на использование "C" и "небезопасных".

1 Ответ

0 голосов
/ 06 декабря 2018

Я читал, что BPF_MAP_TYPE_PERCPU_ARRAY может помочь в таком случае, но мне не ясно, как его использовать.

Вы правы.Пипы обычно полагаются на массивы для каждого процессора, чтобы преодолеть ограничения размера стека.Следующее реализует решение такого рода, в котором я использую массив для каждого процессора для хранения struct ameba_event_t вместо хранения его в стеке.

Я думаю, что вам понадобится Linux v4.18 длябыть в состоянии сделать это (вам нужно совершить d71962f ).Я не тестировал код, поскольку у меня нет нужной настройки, но могу позже, если вы столкнетесь с какой-либо проблемой. 

#include <uapi/linux/ptrace.h>
#include <linux/sched.h>

struct ameba_event_t {
    u32 pid;
    char comm[TASK_COMM_LEN];
    char arg1[512];
} __attribute__((packed));

BPF_PERF_OUTPUT(ameba_events);
BPF_PERCPU_ARRAY(ameba_struct, struct ameba_event_t, 1);

int get_input_args(struct pt_regs *ctx) {
    int zero = 0;
    if (!PT_REGS_PARM1(ctx))
        return 0;
    struct ameba_event_t* event = ameba_struct.lookup(&zero);
    if (!event)
        return 0;
    event->pid = bpf_get_current_pid_tgid();
    bpf_get_current_comm(&event->comm, sizeof(event->comm));
    bpf_probe_read(&event->arg1, sizeof(event->arg1), (void *)PT_REGS_PARM1(ctx));
    ameba_events.perf_submit(ctx, event, sizeof(*event));
    return 0;
}
...