与任何操作系统一样，在运行 Linux 和相关应用程序时遇到问题并不罕见。在使用闭源程序时尤其如此，因为无法进行精细的代码检查。因此，排除故障和解决问题并不是一个简单的过程。Linux 管理员和工程师很快发现需要补充实用程序。值得庆幸的是，他们并没有等太久。
大约是在2000年的时候，老码农还很年轻，当时希望将Linux 作为手机的操作系统， 于是才有了进行内核裁剪的想法并辅助实践，效果尚好，已经能在PDA上执行手机的功能了。一晃20多年过去了，Linux 已经有了太大的变化，内核裁剪的技术和方式也有了较大的不同。
我们可以使用BPF对Linux内核进行跟踪，收集我们想要的内核数据，从而对Linux中的程序进行分析和调试。与其它的跟踪技术相比，使用BPF的主要优点是几乎可以访问Linux内核和应用程序的任何信息，同时，BPF对系统性能影响很小，执行效率很高，而且开发人员不需要因为收集数据而修改程序。
在深入Linux系统的复杂世界中，性能优化始终是SRE关注的热点。最近在拜读国际著名的 LINUX 性能专家 Brendan Gregg 的个人博客和技术书籍。他的工作不仅涵盖了系统性能的监控和分析，还深入探讨了性能问题的根源及其解决方案。通过他的个人博客和技术书籍，我们可以窥见Linux性能优化的精髓，学习到如何利用各种工具和方法来提升系统效率，确保应用的顺畅运行。将会结合 Brendan Gregg博文与个人理解 出一个拜读系列博文。
发音类似<砰>，对黑客而言，这就是成功实施黑客攻击的声音，砰的一声，被<黑>的电脑或手机就被你操纵了
在 Linux 上遇到性能问题时，可使用 perfcollect 收集跟踪，以便收集有关出现性能问题时计算机上发生的状况的详细信息。
原文地址：https://blog.px.dev/ebpf-function-tracing/
当您学会使用 eBPF 性能分析解锁详细洞察时，不可靠的数据将成为过去。了解如何细粒度且高效地监控 CPU、内存和网络数据。
作为一个程序员，在日常工作中，我们往往对于程序的运行情况十分关注，而随着计算机系统变得越来越复杂，人们想要详细地了解软件和系统内核的行为也变得越来越困难，这导致在计算机系统中，“黑天鹅”事件越来越多，甚至很多“黑天鹅”事件其实是长期没有被发现的“灰犀牛”事件。因此，从系统中收集和分析数据显得至关重要。此时，一个能够监控、嗅探内核运行状态的工具包就显得十分重要了，BPF 就是这样一个工具包。
BPF 是近年来Linux 系统技术领域一个巨大的创新。作为 Linux 内核的一个关键发展节点，其重要程度不亚于虚拟化、容器、SDN 等技术。
调试开始：执行gdb [exefilename]，进入gdb调试程序，其中exfilename为要调试的执行文件名，以下命令后括号内为命令的简化使用，比如 run(r)，直接输入命令 r 就代表命令 run
BPF 全称是「Berkeley Packet Filter」，中文翻译为「伯克利包过滤器」。它源于 1992 年伯克利实验室，Steven McCanne 和 Van Jacobson 写得一篇名为《The BSD Packet Filter: A New Architecture for User-level Packet Capture》的论文。该论文描述是在 BSD 系统上设计了一种新的用户级的数据包过滤架构。在性能上，新的架构比当时基于栈过滤器的 CSPF 快 20 倍，比之前 Unix 的数据包过滤器，例如：SunOS 的 NIT（The Network Interface Tap ）快 100 倍。
最近发布的 Linux 内核带了一个针对内核的能力强大的 Linux 监控框架。它起源于历史上人们所说的的 BPF。
strace用于跟踪程序执行时的系统调用和信号。在Linux中，用户态的进程需要通过系统调用来请求内核态的服务，比如文件操作、网络通信等。strace能够捕获这些调用的详细信息，包括调用的名称、参数和返回值，以及执行这些调用所消耗的时间。
strace是Linux环境下的一款程序调试工具，用来监察一个应用程序所使用的系统调用及它所接收的系统信息
这是本系列文章的第一篇, 讲述了我们如何在生产环境中使用 eBPF 调试应用程序而无需重新编译/重新部署. 这篇文章介绍了如何使用 gobpf 和 uprobe 来为 Go 程序构建函数参数跟踪程序. 这项技术也可以扩展应用于其他编译型语言, 例如 C++, Rust 等. 本系列的后续文章将讨论如何使用 eBPF 来跟踪 HTTP/gRPC/SSL 等.
这是本系列文章的第一篇，讲述了我们如何在生产环境中使用 eBPF 调试应用程序而无需重新编译/重新部署。这篇文章介绍了如何使用 gobpf 和 uprobe 来为 Go 程序构建函数参数跟踪程序。这项技术也可以扩展应用于其他编译型语言，例如 C++，Rust 等。本系列的后续文章将讨论如何使用 eBPF 来跟踪 HTTP/gRPC/SSL 等。
运行 Kubernetes 释放了容器的强大功能，但看到更多功能岂不更好？eBPF（扩展 Berkeley 数据包过滤器）是一种…
大约一年前，有个朋友想要用 Rust 开发一个 EVM Assembler。在他的一再要求之下，我开始帮忙编写单元测试。那时候我还不大了解操作系统的相关知识，只好开始学习一些语法和词法方面的东西。很快这个事情就无以为继了，然而我对操作系统有了一些整体了解。之后他对 eBPF 赞赏有加时，我觉得我的春天又来了。
Printf(“valriable x has value = %d\n”, x)
在排查网络问题与深入了解网络协议的工作原理的时候，sre最常使用tcpdump。但是实际上tcpdump只能告诉你网络上传输了哪些包，没有体现为什么这么传输，在排查网络丢包问题的时候是存在一定的局限性的。这时候就需要依赖BCC这个工具来深入地排查网络的问题了。(对于tcpdump与bcc的使用后续可以单独介绍)。
BPF通过一种软件定义的方式，将内核的行为和数据暴露给用户空间，开发者可以通过在用户空间编写BPF程序，加载到内核空间执行，进而实现对内核行为的灵活管理和控制
今天，我们来了解下 Linux 系统的革命性通用执行引擎-eBPF，之所以聊着玩意，因为它确实牛逼，作为一项底层技术，在现在的云原生生态领域中起着举足轻重的作用。截至目前，业界使用范围最广的 K8S CNI 网络方案 Calico 已宣布支持 eBPF，而作为第一个实现了Kube-Proxy 所有功能的 K8S 网络方案——Cilium 也是基于 eBPF 技术。因此，只有了解其底层机制，才能有助于更好、更易地融入容器生态中。
有时为了跟踪故障需要调试MySQL/GreatSQL源码，本文介绍如何在Linux下构建MySQL/GreatSQL源码调试环境。
Linux内核一直是实现监控/可观测性、网络和安全功能的理想地方，但是直接在内核中进行监控并不是一个容易的事情。在传统的Linux软件开发中，实现这些功能往往都离不开修改内核源码或加载内核模块。修改内核源码是一件非常危险的行为，稍有不慎可能便会导致系统崩溃，并且每次检验修改的代码都需要重新编译内核，耗时耗力。
本文是描述我们如何在生产中使用 eBPF 调试应用程序的系列文章中的第一篇，无需重新编译/重新部署，这篇文章介绍了如何使用 gobpf[1] 和uprobes 为 Go 应用程序建立一个函数参数跟踪器，这种技术也可以扩展到其他编译语言，如 C++、Rust 等。
eBPF 是一项革命性的技术，起源于 Linux 内核，可以在操作系统的内核中运行沙盒程序。它被用来安全和有效地扩展内核的功能，而不需要改变内核的源代码或加载内核模块。eBPF 通过允许在操作系统内运行沙盒程序，应用程序开发人员可以在运行时，可编程地向操作系统动态添加额外的功能。然后，操作系统保证安全和执行效率，就像在即时编译（JIT）编译器和验证引擎的帮助下进行本地编译一样。eBPF 程序在内核版本之间是可移植的，并且可以自动更新，从而避免了工作负载中断和节点重启。
一般来说，项目开发过程中，代码编写占开发总时间的40%，剩下的时间基本就是自测和联调的过程。程序出错很正常，关键是如何迅速的去定位它，修掉它。本文将介绍自己程序调试的一些常用方法，这边我以golang为例，总结为望问切闻---debug四部曲。
fork() 函数是 linux/unix 下一种特别的创建子进程的函数，它不同与 Windows，这个函数在执行成功后会有两个返回值，一个返回值==0代表创建了子进程，一个返回值大于0代表还是当前程序进程，而这个大于0的值就是创建的子进程的进程PID。这个函数比较抽象，我们来看一下代码并对比一下图片就能知道具体该函数的用途了。
BPF是近年来Linux 系统技术领域一个巨大的创新。作为 Linux 内核的一个关键发展节点，其重要程度不亚于虚拟化、容器、SDN 等技术。
原创作品转载请注明出处https://github.com/mengning/linuxkernel/
在现代计算机系统中，了解系统的内部运行情况对于诊断问题、优化性能以及进行安全监控至关重要。bpftrace作为一款强大的跟踪工具，为开发人员和系统管理员提供了一种独特的方式来监视和分析Linux系统的内部运行。本文描述bpftrace的原理和使用。
当碰到内核线程的资源使用异常时，很多常用的进程级性能工具，并不能直接用到内核线程上。这时，我们就可以使用内核自带的 perf 来观察它们的行为，找出热点函数，进一步定位性能瓶颈。不过，perf 产生的汇总报告并不直观，所以我通常也推荐用火焰图来协助排查。
bpftrace 是 Linux 高级追踪工具和语言。该工具基于 eBPF 和 BBC 实现了通过探针机制采集内核和程序运行的信息，然后用图表等方式将信息展示出来，帮助开发者找到隐藏较深的 Bug、安全问题和性能瓶颈。github主页介绍如下：
了解更多BPF技术内幕，推荐阅读《BPF之巅：洞悉Linux系统和应用性能》一书。 ▼ BPF是近年来Linux 系统技术领域一个巨大的创新。作为 Linux 内核的一个关键发展节点，其重要程度不亚于虚拟化、容器、SDN 等技术。 ▼BPF 的工作方式十分有趣 ： 最终用户使用 BPF 虚拟机的指令集（也称 BPF 字节码）定义过滤器表达式，然后传递给内核，由解释器执行。这使得包过滤可以在内核中直接进行，避免了向用户态进程复制每个数据包，从而提升了数据包过滤的性能，tcpdump(8) 就是这样工作的。
当今，可观测性领域正在经历一场颠覆性的转变，其中核心驱动力便是 “eBPF”（扩展伯克利数据包过滤器）技术。作为下一代改革先锋，eBPF 技术正在彻底改变我们对系统观测和监控的认知。在之前的文章中，我们已经详细介绍了 eBPF 技术及其对可观测性的影响。
Tcpdump 是Linux 平台常用的网络数据包抓取及分析工具，tcpdump 主要通过libpcap 实现，而libpcap 就是基于eBPF。
搞电子都知道，电路不是焊接出来的，是调试出来的。程序员也一定认同，程序不是写出来的，是调试出来的。那么调试工具就显得尤为重要，linux作为笔者重要的开发平台，在linux中讨论调试工具主要是为那些入门者提供一些帮助。调试工具能让我们能够监测、控制和纠正正在运行的程序。我们在运行一些程序的时候，可能被卡住或出现错误，或者运行过程或结果，没能如我们预期，此时，最迫切需要明白究竟发生了什么。为了修复程序，剖析和了解程序运行的细节， 调试工具就成为了我们的必备工具，工于善其事，必先利其器。在Linux下的用户空间调试工具主要有系统工具和专门调试工具：'print' 打印语句，这是新手最常用的，也是最不提倡使用的；查询 (/proc, /sys 等)系统的虚拟文件查看，这个方法有局限性；跟踪 (strace/ltrace)工具使用这个比较普遍，值得提倡；Valgrind (memwatch)内存排除工具，在内存排除方面比较独到，是内存排错的法宝；GDB大名鼎鼎的程序调试工具，这个是个全能的工具，没有完不成的，只有你不知道的。
最近在看一些时间管理方面的书，发现其实很多事情都是可以安排清楚，关键在于固定的时间，固定的投入，形成习惯，成为良性循环。
进程是通过fork系列的系统调用（fork、clone、vfork）来创建的，内核（或内核模块）也可以通过kernel_thread函数创建内核进程。这些创建子进程的函数本质上都完成了相同的功能——将调用进程复制一份，得到子进程。（可以通过选项参数来决定各种资源是共享、还是私有。）
在上一篇中，我们讲解了哈勃沙箱的技术点，详细分析了静态检测和动态检测的流程。本篇接着对动态检测的关键技术点进行分析，包括strace，sysdig，volatility。volatility的介绍不会太深入，内存取证这部分的研究还需要继续。
在介绍eBPF (Extended Berkeley Packet Filter)之前，我们先来了解一下它的前身－BPF (Berkeley Packet Filter)伯克利数据包过滤器。
描述:官方介绍 strace是一个可用于诊断、调试和教学的Linux用户空间跟踪器。我们用它来监控用户空间进程和内核的交互，比如系统调用、信号传递、进程状态变更等。其底层的实现方式是基于ptrace特性;
本文介绍了Linux应用调试工具strace，包括其安装方法、使用方式和实例。strace可以跟踪进程执行时的系统调用和所接收的信号，帮助开发者解决程序运行过程中的问题。
strace常用来跟踪进程执行时的系统调用和所接收的信号。通过strace可以知道应用程序打开了哪些文件,以及读写了什么内容,包括消耗的时间以及返回值等
Eunomia 是一个使用 C/C++ 开发的基于 eBPF的轻量级，高性能云原生监控工具，旨在帮助用户了解容器的各项行为、监控可疑的容器安全事件，力求提供覆盖容器全生命周期的轻量级开源监控解决方案。它使用 Linux eBPF 技术在运行时跟踪您的系统和应用程序，并分析收集的事件以检测可疑的行为模式。目前，它包含性能分析、容器集群网络可视化分析*、容器安全感知告警、一键部署、持久化存储监控等功能，提供了多样化的 ebpf 追踪点。其核心导出器/命令行工具最小仅需要约 4MB 大小的二进制程序，即可在支持的 Linux 内核上启动。
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
ICP备案
对象存储
即时通信 IM
腾讯会议
