内核调测工具kprobe之原理篇

红太狼 2022-10-31 01:51 169阅读 0赞

![format_png][]

上篇文章我们讲了Kprobe的用法，这次我们一起看下其实现的原理。

在上次的模块例子中插入dump\_stack函数，获得调用栈的情况，根据栈来反推其调用流程：

Call trace:
    [<ffff00000808bd84>] dump_backtrace+0x0/0x268
    [<ffff00000808c00c>] show_stack+0x20/0x28
    [<ffff0000090e63e0>] dump_stack+0xb4/0xf0
    [<ffff00000168d0c8>] handler_pre+0x38/0x50 [kprobe_example]
    [<ffff000009103a14>] kprobe_breakpoint_handler+0x160/0x1d4
    [<ffff000008084fd0>] brk_handler+0x7c/0x90
    [<ffff000008081354>] do_debug_exception+0xa0/0x174
    Exception stack(0xffff000012f7bd40 to 0xffff000012f7be80)
    bd40: 0000000001200011 0000000000000000 0000000000000000 0000000000000000
    bd60: 0000f39a6ce05558 0000000000000000 0000f39a6ce05558 0000000000000073
    bd80: 00000000000000dc 0000000000000000 0000000000000000 0000000000000000
    bda0: 0000f39a6ce05558 0000000000000000 00000000ffffffff 0000fffffa1150d8
    bdc0: ffff0000080e1b40 0000f39a6c99fd10 0000000000000008 0000000000000000
    bde0: 0000000001200011 00000000ffffffff 0000f39a6c99fd30 0000000040000000
    be00: 0000000000000015 0000000000000124 00000000000000dc ffff000009122000
    be20: ffff8008f0385700 ffff000012f7be80 ffff0000080e1b84 ffff000012f7be80
    be40: ffff0000080e1620 0000000080000145 00000000ffffffff 6544f7a9c1a3c100
    be60: 0000ffffffffffff ffff000008083ac0 ffff000012f7be80 ffff0000080e1620
    [<ffff0000080830f0>] el1_dbg+0x18/0x74
    [<ffff0000080e1620>] _do_fork+0x0/0x414

可以看出流程为：el1\_dbg->do\_debug\_exception->brk\_handler->kprobe\_breakpoint\_handler->kprobe\_handler->handler\_pre

![format_png 1][]从上图可以看出当中断触发时进入el1\_sync，然后读取esr\_el1寄存器的值，并判断异常的具体类型 ESR\_ELx\_EC\_BREAKPT\_CUR=0x31，即EC=110001，进入el1\_dbg函数。根据EC=11000的类型我们知道触发当前中断的是**breakpoint** exception，如下所示：![format_png 2][]![format_png 3][]

那么问题来了，breakpoint指令是如何触发的？搞清楚了这个问题也就理解了kprobe添加探针的本质。

## 替换breakpoint指令 ##

先来看下kprobe的注册流程：register\_kprobe->arm\_kprobe->\_\_arm\_kprobe->arch\_arm\_kprobe

/* arm kprobe: install breakpoint in text */
    void __kprobes arch_arm_kprobe(struct kprobe *p)
    {
     patch_text(p->addr, BRK64_OPCODE_KPROBES); 
    }

可以清晰看出这里把addr对应位置的指令修改为brk指令,一旦cpu执行到addr，就会触发brk。从而进入上面说的中断函数el1\_sync，紧接着进入 kprobe\_handler.

static void __kprobes kprobe_handler(struct pt_regs *regs)
    {
     struct kprobe *p, *cur_kprobe;
     struct kprobe_ctlblk *kcb;
     unsigned long addr = instruction_pointer(regs);
    
     kcb = get_kprobe_ctlblk();
     cur_kprobe = kprobe_running();
    
     p = get_kprobe((kprobe_opcode_t *) addr); //根据pc值获取kprobe
    
     if (p) {
      if (cur_kprobe) {
       if (reenter_kprobe(p, regs, kcb))
        return;
      } else {
       /* Probe hit */
       set_current_kprobe(p);
       kcb->kprobe_status = KPROBE_HIT_ACTIVE;//开始处理kprobe
    
       if (!p->pre_handler || !p->pre_handler(p, regs)) {
        setup_singlestep(p, regs, kcb, 0); 
        return;
       }
      }
    ......
    }

可以看出kprobe\_handler里先是进入pre\_handler，然后通过setup\_singlestep设置single-step相关寄存器，为下一步执行原指令时发生**single-step**异常做准备。

## 进入single-step ##

经过上面的步骤，pre\_handler得到了执行，从异常态返回后，原指令也得到了执行，但是由于设置了single-step模式，所以执行完原指令后，马上又进入了single-step的exception。流程为：el1\_dbg->do\_debug\_exception->single\_step\_handler->kprobe\_single\_step\_handler->post\_kprobe\_handler->post\_handler

## 总结 ##

至此，我们知道Kprobe实现的本质是breakpoint和single-step的结合，这一点和大多数调试工具一样，比如[kgdb/gdb][kgdb_gdb]。上面我们是从trace信息反推出来的执行流程，现在我们在从正面整理一下整个过程的来龙去脉：

1.  注册kprobe。注册的每个kprobe对应一个kprobe结构体，该结构体记录着插入点（位置），以及该插入点本来对应的指令original\_opcode；
2.  替换原有指令。使能kprobe的时候，将插入点位置的指令替换为一条异常（BRK）指令，这样当CPU执行到插入点位置时会陷入到异常态；
3.  执行pre\_handler。进入异常态后，首先执行pre\_handler，然后利用CPU提供的单步调试（single-step）功能，设置好相应的寄存器，将下一条指令设置为插入点处本来的指令，从异常态返回；
4.  再次陷入异常态。上一步骤中设置了single-step相关的寄存器，所以original\_opcode刚一执行，便会再次陷入异常态，此时将signle-step清除，并且执行post\_handler，然后从异常态安全返回。

步骤2，3，4便是一次kprobe工作的过程，它的一个基本思路就是将本来执行一条指令扩展成执行kprobe->pre\_handler--->原指令--->kprobe-->post\_handler这样三个过程。

由于考虑到放太多代码不利于阅读，本文并没有详细解读代码对上面流程的实现，感兴趣的小伙伴可以自行阅读，遇到问题可以留言或者群里讨论，最后整理下代码中涉及到的相关寄存器。

## 相关寄存器 ##

# PSTATE #

PSTATE不是一个寄存器，它表示的是保存当前process状态信息的一组寄存器或者一些标志位信息的统称。

![format_png 4][]

> 负数标志 Negative condition flag  
> 零数标志 Zero condition flag  
> 进位标志 Carry condition flag  
> 溢出标志 Overflow condition flag
> 
> D : debug exception MASK ：Watchpoint, **Breakpoint**, and **Software Step** exceptions  
> A : SError interrupt MASK  
> I ：IRQ interrupt MASK  
> F ：FIQ interrupt MASK
> 
> EL, bits \[3:2\]  
> 00 EL0  
> 01 EL1  
> 10 EL2  
> 11 EL3
> 
> SP, bit \[0\]  
> 0 Use SP\_EL0 at all Exception levels.  
> 1 Use SP\_ELx for Exception level ELx.
> 
> PAN, bit \[22\] 特权访问进制  
> 0 Privileged reads and write are not disabled by this mechanism.  
> 1 Disables privileged read and write accesses to addresses accessible at EL0 for an enabled stage 1 translation regime that defines the EL0 permissions

# SPSR #

当异常发生的时候，保存当前的PSTATE(CPSR)的状态。![format_png 5][]

*  PSTATE.\{N, Z, C, V\}：条件标志位，这些位的含义跟之前AArch32位一样，分别表示补码标志，运算结果为0标志，进位标志，带符号位溢出标志.
 *  PSTATE.SS：异常发生的时候，通过设置 **MDSCR\_EL1.SS** 为 1 启动**单步调试**机制.
 *  PSTATE.IL：异常执行状态标志，非法异常产生的时候，会设置这个标志位，会导致的事件.
 *  PSTATE.\{D, A, I, F\}：D表示debug异常产生，比如软件断点指令/断点/观察点/向量捕获/软件单步 等；A, I, F表示异步异常标志，异步异常会有两种类型：一种是物理中断产生的，包括SError（系统错误类型，包括外部数据终止），IRQ或者FIQ；另一种是虚拟中断产生的，这种中断发生在运行在EL2管理者enable的情况下：vSError，vIRQ，vFIQ；

# MDSCR\_EL1 #

Monitor Debug System Control Register

![format_png 6][]

【推荐阅读】

[深入探究Linux Kprobe机制][Linux Kprobe]

[eBPF在android上的使用][eBPF_android]

[这才是kprobe工作的本质][kprobe]

[内核调测工具kprobe之实践篇][kprobe 1]

![虚线阴影分割线][format_png 7]

![format_png 8][]

5T技术资源大放送！包括但不限于：C/C++，Arm, Linux，Android，人工智能，单片机，树莓派，等等。在公众号内回复「peter」，即可免费获取！！

![format_png 9][] **记得点击****分享****、****赞****和****在看****，给我充点儿电吧**

[format_png]: /images/20221024/a491199fb69b4b098b5c1c6d190b68e6.png
[format_png 1]: https://imgconvert.csdnimg.cn/aHR0cHM6Ly9tbWJpei5xcGljLmNuL21tYml6X3BuZy85c053c1hjTjY4cEFFdWxKazY4NWVLSWlhdEhwNEhjSDMzdXhZYjlTSWJhZk50NEdPVzNQckthaWNIZk5sd1lqNFhqYUtZYWtwYkZ4OFdYTVBGU0N5aWI5Zy82NDA?x-oss-process=image/format,png
[format_png 2]: https://imgconvert.csdnimg.cn/aHR0cHM6Ly9tbWJpei5xcGljLmNuL21tYml6X3BuZy85c053c1hjTjY4cEFFdWxKazY4NWVLSWlhdEhwNEhjSDNqZWJVemtJSHluQ1VPU2RrUmljM0RBazJOTTFUaWM4aWJ1REdMUE5xZ0dRR1NBaWNxNHgwTWlhZUZ1QS82NDA?x-oss-process=image/format,png
[format_png 3]: /images/20221024/b6ab74be61e94956a0683a08d3616a7f.png
[kgdb_gdb]: http://mp.weixin.qq.com/s?__biz=MzIxMjE1MzU4OA%3D%3D&chksm=8f5d9f55b82a1643eb14c46278db9c53d0a71ef94a169561ef78e6ca23ae5b58deba113426ee&idx=1&mid=2648922830&scene=21&sn=56557886d02f90596026f34ac844f712#wechat_redirect
[format_png 4]: /images/20221024/2a361e224b5c4d26809de83354969391.png
[format_png 5]: /images/20221024/c793ccb8e5944064a3c10e5d0412377b.png
[format_png 6]: /images/20221024/7a141faba63d42d7ba13aa0a94ddcef6.png
[Linux Kprobe]: http://mp.weixin.qq.com/s?__biz=MzIxMjE1MzU4OA%3D%3D&chksm=8f5d9c52b82a1544e0498fa55ec846a03ae9633793858817500fecb047a0517beeb62d8bdf7a&idx=1&mid=2648922569&scene=21&sn=3594a7c7af7dcfa2810f3eafde2d8311#wechat_redirect
[eBPF_android]: http://mp.weixin.qq.com/s?__biz=MzIxMjE1MzU4OA%3D%3D&chksm=8f5d9f85b82a169367caf6403465e333a2bdeb659e83bc85daa50ba33863bd01936f1fe728c5&idx=2&mid=2648922654&scene=21&sn=8ed8e52d53ed7f2b7be3c229a161c6f6#wechat_redirect
[kprobe]: http://mp.weixin.qq.com/s?__biz=MzIxMjE1MzU4OA%3D%3D&chksm=8f5d9fd1b82a16c7c7e02889a87c821bf0ae5b717ab6b30719bd1c0e7ee0cdb91a2d104262ea&idx=1&mid=2648922698&scene=21&sn=d8eb20a44a7089b68d8c5509d54bce7f#wechat_redirect
[kprobe 1]: http://mp.weixin.qq.com/s?__biz=MzIxMjE1MzU4OA%3D%3D&chksm=8f5d9fffb82a16e909784d37f8f3ff9c685a15e1bc0bfe200c922d62afe8c9f9325a271f7e6f&idx=1&mid=2648922724&scene=21&sn=d8f8f90f572ead35f925936d67f99cf4#wechat_redirect
[format_png 7]: /images/20221024/f8ef479ad8b3480797bcad52dde2910e.png
[format_png 8]: /images/20221024/d076e0738637454d9318d5d5e4cc3c87.png
[format_png 9]: /images/20221024/1c46f6bc8eec4f43aa3efccc2a5bcb2f.png