3.2 Android eBPF程序类型

最新推荐文章于 2024-10-28 17:13:48 发布

高桐@BILL

最新推荐文章于 2024-10-28 17:13:48 发布

阅读量581

点赞数

CC 4.0 BY-SA版权

分类专栏： Android eBPF Book 文章标签： android php 开发语言

本文链接：https://blog.csdn.net/huangyabin001/article/details/132954293

Android eBPF Book 专栏收录该内容

167 篇文章 ¥99.90 ¥299.90

订阅专栏

本文介绍了Android中eBPF程序的类型及其在内核事件监控中的作用。重点讲解了内核支持的eBPF程序类型，包括kprobe、tracepoint和perf_event。kprobe允许动态跟踪内核行为，tracepoint是预定义的静态探测点，perf_event则为用户态提供性能数据接口。同时，文章探讨了Android对这些程序类型的实现和使用。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

写在前面

为什么要先了解eBPF程序类型？

从帮助函数中，我们可能基于内核的eBPF开放API，对eBPF的能力有一个比较细致的认识，但是这并不能让我们从全局，或者更概括的认识eBPF。eBPF程序类型能够更宏观的告诉我们，eBPF能做哪些事情（除网络相关）。

一，eBPF程序类型

内核中不同事件会触发不同类型的eBPF程序，那么eBPF程序类型决定了它可以监控哪些内核事件类型。

1.1 内核支持的ebpf程序类型

/bionic/libc/kernel/uapi/linux/bpf.h

enum bpf_prog_type {
  BPF_PROG_TYPE_UNSPEC,//未定义或无效的程序类型
  BPF_PROG_TYPE_SOCKET_FILTER,//该类型的eBPF程序可用于输入输出网络包的过滤
  BPF_PROG_TYPE_KPROBE,//该类型的eBPF程序可以通过kprobe机制，动态注入到内核函数当中。eBPF程序类型中没有设置uprobe是因为uprobes和kprobes原理相同，kprobe类型的eBPF程序也可以使用uprobes。
  BPF_PROG_TYPE_SCHED_CLS,//用于网络流量控制分类器。
  BPF_PROG_TYPE_SCHED_ACT,//用于网络流量控制执行器。
  BPF_PROG_TYPE_TRACEPOINT,//用作决定某个tracepoint是否应该触发。内核采用插桩的方法抓取log。插桩就是tracepoint。他是Linux内核预先定义的静态探测点。它分布于内核的哥哥子系统当中。每个tracepoint都有一个name，一个

了解本专栏