BPF C編程入門

本文轉載自查看原文 2021-10-13 16:59 2585

對 Linux內核之旅-BPF C編程入門的筆記

先說一下，這里的BPF實際上是指eBPF，不是傳統的cBPF

1.搭建BPF程序運行環境

1.1.下載內核源碼

下載的內核版本應與你系統的版本一致，查看當前內核版本 uname -r

然后在源碼鏡像站點(http://ftp.sjtu.edu.cn/sites/ftp.kernel.org/pub/linux/kernel)下載對應版本的內核源碼

也可以通過Ubuntu apt倉庫下載。Ubuntu官方自己維護了每個操作系統版本的背后的Linux內核代碼，可以通過以下兩種apt命令方式獲取相關代碼：

# 第一種方式
# 先搜索
> apt-cache search linux-source
    linux-source - Linux kernel source with Ubuntu patches
    linux-source-4.15.0 - Linux kernel source for version 4.15.0 with Ubuntu patches
    linux-source-4.18.0 - Linux kernel source for version 4.18.0 with Ubuntu patches
    linux-source-5.0.0 - Linux kernel source for version 5.0.0 with Ubuntu patches
    linux-source-5.3.0 - Linux kernel source for version 5.3.0 with Ubuntu patches
# 再安裝
> apt install linux-source-4.15.0
    
# 第二種方式
> apt-get source linux
    Reading package lists... Done
    NOTICE: 'linux' packaging is maintained in the 'Git' version control system at:
    git://git.launchpad.net/~ubuntu-kernel/ubuntu/+source/linux/+git/bionic
    Please use:
    git clone git://git.launchpad.net/~ubuntu-kernel/ubuntu/+source/linux/+git/bionic
    to retrieve the latest (possibly unreleased) updates to the package.
    Need to get 167 MB of source archives.
    Get:2 https://mirrors.ustc.edu.cn/ubuntu bionic-updates/main linux 4.15.0-99.100 (tar) [158 MB]
    ...
    
# 以上兩種方式，內核源代碼均下載至/usr/src/目錄下

1.2.安裝依賴項

apt install libncurses5-dev flex bison libelf-dev binutils-dev libssl-dev

1.3.安裝Clang和LLVM

然后使用以下兩條命令分別安裝 clang 和 llvm

apt install clang
apt install llvm

1.4.配置內核

在源碼根目錄下使用make defconfig生成.config<c/ode>文件

1.5.解決modpost: not found錯誤

因為直接make M=samples/bpf時，會報錯缺少modules的錯誤。修復modpost的錯誤，以下兩種解決方案二選一

make modules_prepare

make script

1.6.關聯內核頭文件

make headers_install

1.7.編譯內核程序樣例

在源碼根目錄下執行make M=samples/bpf,

此時進入linux-source-4.15.0/smaples/bpf中，會看到生成了BPF字節碼文件*_kern.o和用戶態的可執行文件

你可以運行幾個試試，例如sockex1

2. 使用BPF C編寫hello world程序

2.1.先了解一下原理吧

BPF程序經過Clang/LLVM編譯成BPF字節碼，然后通過BPF系統調用的方式加載進內核，然后交給BPF虛擬機來執行，也是JIT的方式動態轉成機器碼

內核有很多hook點，我們在寫BPF程序時也會做事件源配置。當hook點上的事件發生時，就會執行我們的BPF程序。

我們還可以在BPF程序中創建一個Map，把我們想拿到的數據保存在Map中，然后用戶態程序就可以拿到。

總之，就是我們可以通過BPF程序拿到內核的一些數據

2.2.hello world程序

進入samples/bpf目錄，可以利用自帶的Makefile編譯，

編寫hello_kern.c：

#include <linux/bpf.h>
#include "bpf_helpers.h"
#define SEC(NAME) __attribute__((section(NAME), used))

SEC("tracepoint/syscalls/sys_enter_execve")
int bpf_prog(void *ctx){
        char msg[] = "Hello World\n";
        bpf_trace_printk(msg, sizeof(msg));
        return 0;
}

char _license[] SEC("license") = "GPL";

這個程序的作用就是當發生系統調用(sys_enter_execve)時在終端輸出"Hello World"，其實bpf_trace_printk只是將msg寫到一個管道文件中

編寫hello_user.c:

#include <stdio.h>
#include "bpf_load.h"

int main(int argc, char **argv){
        if(load_bpf_file("hello_kern.o")!=0){
                printf("The kernel didn't load BPF program\n");
                return -1;
        }

        read_trace_pipe();
        return 0;
}

這個程序的作用是將包含BPF的文件hello_kern.o通過系統調用的方式加載進內核，read_trace_pipe()讀取管道文件並打印到終端

2.3.修改Makefile

模仿原有的，有四處需要修改：

# List of programs to build
hostprogs-y += hello

# Libbpf dependencies
hello-objs := bpf_load.o $(LIBBPF) hello_user.o

# Tell kbuild to always build the programs
always += hello_kern.o

HOSTLOADLIBES_hello += -lelf