使用 eBPF 实时持续跟踪进程文件记录

最新推荐文章于 2025-05-17 11:13:24 发布
最新推荐文章于 2025-05-17 11:13:24 发布
阅读量2.1k 收藏 9
点赞数 1
文章标签： 内核 python linux java 编程语言


本文主要用于演示基于 ebpf 技术来实现对于系统调用跟踪和特定条件过滤，实现基于 BCC[1] 的 Python 前端绑定，过程中对于代码的实现进行了详细的解释，可以作为学习 ebpf 技术解决实际问题的参考样例。

样例代码

#include <stdio.h>
#include <unistd.h>

int main() {
   FILE *fp;
   char buff[255];

   printf("Pid %d\n", getpid());

   fp = fopen("./hello.c", "r");
   fscanf(fp, "%s", buff);
   printf("Read:  [%s]\n", buff );

   getchar();
   fclose(fp);

   return 0;
}

fopen 函数是 glibc[2] 库中的函数，可在 github 上找到 mirror[3] 地址，最终是通过系统调用 open 来实现内核中打开文件的功能。

/proc 目录下的 fd

在 hello 在运行状态时，通过查看 /proc/pid/fd 可以获取到文件当前打开的文件句柄：

$ ls -hl /proc/`pidof hello`/fd
total 0
lrwx------ 1 root root 64 May 30 16:31 0 -> /dev/pts/0
lrwx------ 1 root root 64 May 30 16:31 1 -> /dev/pts/0
lrwx------ 1 root root 64 May 30 16:31 2 -> /dev/pts/0
lr-x------ 1 root root 64 May 30 16:31 3 -> /root/sys_call/hello.c

如果将 getchar 调整到 fclose 的下方：

  int main()
  {
    // ...
    fclose(fp);  // 先关闭文件句柄
    getchar();
    return 0;
  }

我们再去查看 /proc 目录下进程对应的 fd则无法展示出已经关闭的文件相关信息。

# ls -hl /proc/`pidof hello`/fd
total 0
lrwx------ 1 root root 64 May 30 16:34 0 -> /dev/pts/0
lrwx------ 1 root root 64 May 30 16:34 1 -> /dev/pts/0
lrwx------ 1 root root 64 May 30 16:34 2 -> /dev/pts/0

Linux 提供的 lsof 工具的实现原理也是遍历进程对应的 /proc/pid/fd 文件实现的。

这是因为 /proc/pid/fd 给我们展示的是查看目录时的文件打开的最终快照。如果我们对于某组特定进程持续跟踪文件打开的记录和结果，特别是进程频繁创建销毁的场景下，通过 /proc 文件进行查看的方式则不能够满足诉求，这时我们需要一种新的实现方式，能够帮我们实现以下功能：

  • 许多对于进程运行过程中的所有文件打开记录和状态进行跟踪

  • 对于频繁创建销毁的进程也能够实现跟踪

  • 能够基于更多维度进行跟踪，比如进程名或者特定的文件

Linux 内核中的 eBPF 技术，可通过跟踪内核中文件打开的系统调用通过编程的方式实现。

使用 eBPF 实时跟踪文件记录

在真正进入到 eBPF 环节之前，我们需要简单复习一些系统调用的基础知识。

系统调用（syscall）

在 Linux 的系统实现中，分为了用户态和内核态。用户态的程序工作在较低级别的状态，操作系统提供的核心服务工作在高级别的内核态，从而避免用户应用程序破坏系统的正常运行，实现了用户级别的隔离。

为了方便用户态的程序访问到操作系统内核态的功能，操作系统提供了系统调用层。用户态的程序用过系统调用来访问操作系统内核态功能，从而从用户态转向级别更高的内核态，一般情况下应用程序并不会直接访问系统调用，而是通过 glibc 库提供函数实现的，例如库中的 open 函数对应到系统调用中 sys_open 函数。截止到 Linux 5.4 版本内核，64 位操作系统中大概有 547 个系统调用，具体参见syscall_64.tbl[4]。

eBPF 系统调用跟踪

eBPF 对于系统调用的底层支持采用的是 kprobe 机制，kprobe 是针对内核函数跟踪的一种机制。由于原始的 eBPF 编程是基于 Linux C 语言的，入门的门槛比较高，开源项目 BCC[5] 提供了更高的抽象，BCC[6] 支持 Python、Lua 和 C++ 等高级语言，这大大降低了编程的门槛。本样例我们使用采用 Python 语言编写（基于 BCC）。代码运行前，需要提前安装 BCC 项目，安装方式参见 INSTALL.md[7]。

open 系统调用跟踪

open_ebpf.py 程序基于 eBPF 开源项目 BCC 中的 Python 框架搭建，运行时会将系统中所有程序调用 open 函数的记录打印出来。

#!/usr/bin/python
from bcc import BPF

prog = """
int trace_syscall_open(struct pt_regs *ctx, const char __user *filename, int flags) {
    u32 pid = bpf_get_current_pid_tgid() >> 32;
    u32 uid = bpf_get_current_uid_gid();

    bpf_trace_printk("%d [%s]\\n", pid, filename);
    return 0;
}
"""

b = BPF(text=prog)
b.attach_kprobe(event=b.get_syscall_fnname("open"), fn_name="trace_syscall_open")
try:
    b.trace_print()
except KeyboardInterrupt:
    exit()

程序运行结果如下：

$ ./open_ebpf.py
       AliYunDun-1732  [012] d... 11761.163446: : 1732 [/var/log/secure]
 CmsGoAgent.linu-931   [010] d... 11761.259430: : 722 [/proc/loadavg]

代码详解：

  • from bcc import BPF 该行为从 bcc 的 Python 库导入 BPF 包；

  • prog = ‘’‘ xxx ’‘’ 该变量为需要编写的 eBPF 程序，为 C 语言代码，常见函数参见 reference_guide[8]；

    • trace_syscall_open 函数原型为 sys_open 函数在内核中的定义原型，其中第一个参数struct pt_regs *ctx 为 BPF 程序需要添加的上下文变量，后续参数参见 `sys_open`[9]。

      asmlinkage long sys_open(const char __user *filename, int flags, umode_t mode);

    • bpf_trace_printk 为简单的调试方式，输出到文件 /sys/kernel/debug/tracing/trace_pipe 中，最大只允许 3 个参数，而且只运行一个 %s 的参数；另外 trace_pipe 是所有共享的，这也可能导致输出会冲突，应尽量采用 BPF_PERF_OUTPUT() 的方式，此处只是用于演示功能使用。

  • b = BPF(text=prog) 使用我们定义的 prog 初始化 BPF 对象 b;

  • b.attach_kprobe 是将我们定义的跟踪函数与系统调用 open 函数进行关联；

    • b.get_syscall_fnname("open") 是提供的便利函数，可以获取到 syscall 对应的函数名，底层源码[10]为 c++ 实现。

  • b.trace_print() 则是读取 bpf_trace_printk 的输出，并打印；

支持 PID 过滤版本

为了方便统计特定进程的文件打开情况，我们还需要增强为支持按照 PID 过滤的功能。

open_pid_ebpf.py 在上述版本的基础上增加了命令行输入 PID 和底层 eBPF 程序支持 PID 过滤的功能。

#!/usr/bin/python
from bcc import BPF
import argparse  # +add

prog = """
int trace_syscall_open(struct pt_regs *ctx, const char __user *filename, int flags) {
    u32 pid = bpf_get_current_pid_tgid() >> 32;
    u32 uid = bpf_get_current_uid_gid();

    PID_FILTER  // + add PID FILTER

    bpf_trace_printk("%d [%s]\\n", pid, filename);
    return 0;
}
"""

examples = """examples:
    ./open_pid_ebpf -p 181    # only trace PID 181
"""

parser = argparse.ArgumentParser(
    description="Trace open() syscalls",
    formatter_class=argparse.RawDescriptionHelpFormatter,
    epilog=examples)

parser.add_argument("-p", "--pid",
    help="trace this PID only")

args = parser.parse_args()

if args.pid:
    prog = prog.replace('PID_FILTER',
        'if (pid != %s) { return 0; }' % args.pid)
else:
    prog = prog.replace('PID_TID_FILTER', '')

b = BPF(text=prog)
b.attach_kprobe(event=b.get_syscall_fnname("open"), fn_name="trace_syscall_open")
try:
    b.trace_print()
except KeyboardInterrupt:
    exit()

运行结果如下：

$ ./open_pid.py -p 4214  # hello pid
           hello-4214  [003] d... 11693.160177: : 4214 [./hello.c]

后续程序增强

  • 目前只是使用 bpf_trace_printk 进行了打印，生产中的跟踪程序应采用 BPF_PERF_OUTPUT 的方式。

  • 当前只是支持了 PID 过滤，可以提供更加丰富的过滤条件，比如支持 TID，filename 和 cmd 等多维度。

  • 基于 kprobe 机制对于函数的入口进行了跟踪，还可以基于 kretporbe 对于函数返回的结果进行跟踪。

  • 打开文件的方式并不仅仅只有 open 函数，还有 openat 和 openat2 等函数，也需要统一支持，才能涵盖所有的路径，参见这里[11]。

BCC 中的 opensnoop.py[12] 已经实现了上述的各种功能，可以作为我们自己编写的参考。

此处我们只是为了展示如何使用 eBPF 进行功能开发，实现了对于 open 系统调用跟踪和基于 PID de 过滤，麻雀虽小五脏俱全，我们可以很容易基于此样例进行扩展，实现我们个性化定制的跟踪。

实际上 BCC 中已经包含了大多数场景下使用的工具，例如实现功能更加丰富的 opensnoop.py[13]，能够满足对于文件访问跟踪的大多数场景。opensnoop 的样例如下：

    ./opensnoop           # trace all open() syscalls
    ./opensnoop -T        # include timestamps
    ./opensnoop -U        # include UID
    ./opensnoop -x        # only show failed opens
    ./opensnoop -p 181    # only trace PID 181
    ./opensnoop -t 123    # only trace TID 123
    ./opensnoop -u 1000   # only trace UID 1000
    ./opensnoop -d 10     # trace for 10 seconds only
    ./opensnoop -n main   # only print process names containing "main"
    ./opensnoop -e        # show extended fields
    ./opensnoop -f O_WRONLY -f O_RDWR  # only print calls for writing
    ./opensnoop --cgroupmap mappath  # only trace cgroups in this BPF map
    ./opensnoop --mntnsmap mappath   # only trace mount namespaces in the map

参考

  • proc file system in Linux[14]

  • The /proc Filesystemn 内核文档[15]

  • LWN Syscall part 1[16] part2[17]

  • open(2)[18]

  • How to turn any syscall into an event: Introducing eBPF Kernel probes[19]

脚注

[1]

BCC: https://github.com/iovisor/bcc/

[2]

glibc: https://www.gnu.org/software/libc/sources.html

[3]

mirror: https://github.com/bminor/glibc

[4]

syscall_64.tbl: https://elixir.bootlin.com/linux/v5.4/source/arch/x86/entry/syscalls/syscall_64.tbl

[5]

BCC: https://github.com/iovisor/bcc/

[6]

BCC: https://github.com/iovisor/bcc/

[7]

INSTALL.md: https://github.com/iovisor/bcc/blob/master/INSTALL.md

[8]

reference_guide: https://github.com/iovisor/bcc/blob/b209161fd7cacd03fd082ce3c0af89cfa652792d/docs/reference_guide.md

[9]

sys_open: https://elixir.bootlin.com/linux/v5.4/source/include/linux/syscalls.h#L1033

[10]

源码: https://github.com/iovisor/bcc/blob/e83019bdf6c400b589e69c7d18092e38088f89a8/src/cc/api/BPF.cc#L744

[11]

这里: https://man7.org/linux/man-pages/man2/open.2.html

[12]

opensnoop.py: https://github.com/iovisor/bcc/blob/master/tools/opensnoop.py

[13]

opensnoop.py: https://github.com/iovisor/bcc/blob/master/tools/opensnoop.py

[14]

proc file system in Linux: https://www.geeksforgeeks.org/proc-file-system-linux/

[15]

The /proc Filesystemn 内核文档: https://www.kernel.org/doc/html/latest/filesystems/proc.html

[16]

part 1: https://lwn.net/Articles/604287/

[17]

part2: https://lwn.net/Articles/604515/

[18]

open(2): https://man7.org/linux/man-pages/man2/open.2.html

[19]

How to turn any syscall into an event: Introducing eBPF Kernel probes: https://blog.yadutaf.fr/2016/03/30/turn-any-syscall-into-event-introducing-ebpf-kernel-probes/

原文链接：https://www.ebpf.top/post/ebpf_trace_file_open/


你可能还喜欢

点击下方图片即可阅读

【深度】这一次，彻底搞懂 kube-proxy IPVS 模式的工作原理！

云原生是一种信仰 ????

关注公众号

后台回复◉k8s◉获取史上最方便快捷的 Kubernetes 高可用部署工具，只需一条命令，连 ssh 都不需要！

点击 "阅读原文" 获取更好的阅读体验！

发现朋友圈变“安静”了吗？

ebpf初探，动态追踪golang程序
fjs的专栏
05-01 1691
文章内容基本上是https://blog.pixielabs.ai/ebpf-function-tracing/post/内容的复刻，对细节进行了补充完善
openEuler 2203 中利用ebpf实现文件变更实时监控
zhangdaolong
06-18 642
sed,vim等命令修改文件，每次更新，文件的inode会变化，这个和具体命令的实现有关，有的时候可能还是需要用文件的名称来做唯一标记。在ebpf安全保护机制下，不可控循环可能不让操作，所以这边固定了循环次数，也就是固定目录的深度，这个地方举例是4级。上边循环中，可以用数组来保存目录的名称，但是具体实现过程，编译没有过，暂时用这个临时方法代替。操作文件的时候，传入参数文件路径可以是相对路径或者是绝对路径，如果是相对路径可能需要在获取文件的完成路径。1），根据fd获取文件的名称。3.监控中参数获取遇到问题。
ebpf 追踪打开的文件
zhaoyangjian724的专栏
03-14 611
1
BCC eBPF内核函数挂载实践及特点
最新发布
focus on security
05-17 885
本文重点介绍BCC实践，BCC为调试和观测内核行为而设计，主要使用kprobe、tracepoint、USDT，为了方便追踪开发，BCC 封装了许多自动转换、格式化输出逻辑。其原理为，将eBPF 程序嵌入python中使用Clang+LLVM编译C代码并加载到内核。
ebpf入门---监听所有新进程
azraelxuemo的博客
03-08 904
eBPF 全称 extended Berkeley Packet Filter，中文意思是 扩展的伯克利包过滤器。一般来说，要向内核添加新功能，需要修改内核源代码或者编写 内核模块 来实现。而 eBPF 允许程序在不修改内核源代码，或添加额外的内核模块情况下运行。
使用eBPF追踪Linux内核
RToax
04-24 598
目录 1. 前言 2. BPF验证器 3. 内核探针 kprobes 3.1 kprobes类BPF程序的优缺点 3.2 kprobes 3.3 kretprobes 4. 内核静态跟踪点 tracepoint 4.1 tracepoint 程序的优缺点 4.2 tracepoint 可用跟踪点 5. 总结 相关阅读 1. 前言 我们可以使用BPF对Linux内核进行跟踪，收集我们想要的内核数据，从而对Linux中的程序进行分析和调试。与其它的跟踪技术相比，使用BPF的主要优.
Python进程安全审计：检查进程权限、文件访问，安全审计，防患未然
它涉及检查和评估进程的权限、文件访问和整体安全状况，以识别和减轻潜在的威胁。 通过进程安全审计，我们可以： - 识别具有过高权限的进程，这些权限可能被滥用。 - 检测未经授权的文件访问，这可能导致数据泄露...
系统监控与日志分析：ICC平台性能指标实时跟踪
[系统监控与日志分析：ICC平台性能指标实时跟踪](https://www.site24x7.com/help/images/cpu-usage.png) 参考资源链接：[大华ICC平台V1.2.0使用手册：智能物联管理]...
Ubuntu性能分析进阶课程：洞悉进程资源使用奥秘
[Ubuntu性能分析进阶课程：洞悉进程资源使用奥秘](https://media.geeksforgeeks.org/wp-content/uploads/20200521163927/only-current-actual-disk-usage-iotop.png) # 1. 性能分析基础与Ubuntu概述 性能分析是IT...
【gRPC与微服务架构】分布式跟踪：使用OpenTelemetry追踪调用链
![【gRPC与微服务架构】分布式跟踪：使用OpenTelemetry追踪调用链]...# 1. 微服务架构下的分布式跟踪需求 在现代微服务架构中，系统由多个小而自治的服务组成，这些服务通过网络进行通信。随着业务的复杂性增加，服务...
【实时性能追踪工具】：多用户文件系统监控与分析开发指南
首先概述了实时性能追踪工具的重要性，接着深入分析了多用户文件系统监控的原理，包括性能指标、监控系统设计原理以及监控工具的选择与评估。在第三章中，文章详细讨论了性能追踪工具开发的关键实践，涉及开发环境...
vltrace:使用eBPF linux内核功能以快速方式跟踪系统调用的工具
05-19
vltrace：使用eBPF的syscall跟踪程序 这是vltrace的顶级README.md。 vltrace是一个系统调用跟踪工具，它利用eBPF（Linux内核的有效跟踪功能）。 执照 请参阅文件以获取有关此工具如何获得的信息。 依赖 vltrace取决于库。 libbcc的安装指南可以在找到。 系统要求 内核v4.7或更高版本 安装的内核头文件： RHEL，Fedora和CentOS上的“内核开发”软件包或 Debian和Ubuntu上的'linux-headers'软件包 libbcc v0.4.0 CAP_SYS_ADMIN功能（bpf（）系统调用所需） 挂载的debugfs和tracefs 联系方式 有关此工具的更多信息，请联系： Lukasz Dorau（intel.com上的lukasz.dorau） 或创建问题。
eBPF监测未知进程的创建
李老板的移动安全杂货铺
12-02 711
以下是一个简单的eBPF模块代码示例，用于检测未知进程的创建。在此示例中，我们使用eBPF的`kprobe`功能来监视`do_fork`系统调用，并检查新创建进程的PID和进程命令行。如果发现未知进程，则通过`trace_printk`函数将消息打印到内核日志中。要编译和加载此模块，需要在系统上安装运行eBPF的环境。// 如果PID不存在于pid_cmd哈希表中，则打印未知进程信息。请确保将`eth0`替换为您要监视的网络接口。// 存储新创建进程的PID和命令行。
ebpf_bcc_tools之execsnoop（监控系统进程exec执行）
ljbcharles的专栏
04-09 645
ebpf实用案例之系统进程exec执行命令监控
【译】eBPF 概述：第 5 部分：跟踪用户进程
dwh0403的专栏
09-29 547
本系列导航： eBPF 概述：第 1 部分：介绍 eBPF 概述：第 2 部分：机器和字节码 eBPF 概述：第 3 部分：软件开发生态 eBPF概述：第 4 部分：在嵌入式系统运行S eBPF概述：第 5 部分：追踪用户进程 原文地址：https://www.collabora.com/news-and-blog/blog/2019/05/14/an-ebpf-overview-part-5-tracing-user-processes/ 首发地址：https://ebpf.top/post/ebp
使用 ebpf 监控 Node.js 事件循环的耗时
标子 的专栏
12-18 1164
前言：强大的 ebpf 使用越来越广，能做的事情也越来越多，尤其是无侵入的优雅方式更加是技术选型的好选择。本文介绍如何使用 ebpf 来监控 Node.js 的耗时，从而了解 Node.js 事件循环的执行情况。不过这只是粗粒度的监控，想要精细地了解 Node.js 的运行情况，需要做的事情还很多。 在 Node.js 里，我们可以通过 V8 Inspector 的 cpuprofile 来了解 JS 的执行耗时，但是 cpuprofile 无法看到 C、C++ 代码的执行耗时，通常我们可以使用 perf
教你如何使用eBPF追踪Linux内核
m0_74282605的博客
12-14 549
4. 保存上述配置后，按照上一篇文章中的方法，将我们写的hello world程序设置为内核默认使用的init程序。6. 内核编译完毕后，执行下面命令，设置方便内核调试的一些gdb脚本（如果之前执行过该命令，则不用重复执行）。7. 至此，准备工作都已就绪，执行下面的命令，在qemu中运行内核，并使其处于等待调试状态。1. 还是先进入内核目录，执行下面的命令，确保内核代码是干净的。9. 在gdb环境下，执行下面的命令，连接qemu中启动的内核。2. 执行以下命令，开始对内核进行配置。11. 查看堆栈信息。
使用 eBPF 技术跟踪 Netfilter 数据流
云原生实验室
08-30 889
1. 网络层数据流向与 Netfilter 体系图 1-1 为网络层内核收发核心流程图，在函数流程图中我们可以看到 Netfliter 在其中的位置（图中深色底纹圆角矩形）。图中对应的 h...
三分钟学会编写 eBPF 程序：使用 eBPF 程序监控打开文件路径并使用 Prometheus 可视化
云微的blog
09-30 1153
opensnoop通过对 open 系统调用的追踪，使得用户可以较为方便地掌握目前系统中调用了 open 系统调用的进程信息。源代码：https://github.com/eunomia-bpf/eunomia-bpf/tree/master/bpftools/examples/opensnooplibbpf 参考代码：https://github.com/iovisor/bcc/blob/master/libbpf-tools/opensnoop.bpf.c。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值