Post #430

bpftrace 小贴士 比方说我想看 nf_log_buf_close 的调用参数，首先看参数类型 $ s bpftrace -lv kfunc:vmlinux:nf_log_buf_close kfunc:vmlinux:nf_log_buf_close struct nf_log_buf * m 然后检查检查类型定义 $ pahole -C nf_log_buf struct nf_log_buf { unsigned int count; /* 0 4 */ char buf[1020]; /* 4 1020 */ /* size: 1024, cachelines: 16, members: 2 */ }; 然后写 bpftrace bpftrace -e 'kfunc:vmlinux:nf_log_buf_close {printf("%s\n", str(args->m->buf));}' 可惜上面那个会报错，说 str() 要指针但是传入的是 char[]。 这就是大家经常遇到的 bpftrace 类型问题，非常弱智，但如果你不了解他的运作模式会卡住，放弃。 我的解法是直接从结构体取成员退化成手动偏移： s bpftrace -e 'kfunc:vmlinux:nf_log_buf_close {$m=(uint8*)args->m; printf("%s\n", str($m+4));}' 这一套方式虽然原始，失去了一些便捷性，但是扩展了边界，用熟练了之后也很快。 比如接下来我就可以稍加修改，只在 nat POSTROUTING 的时候打印栈 $ s bpftrace -e 'kfunc:vmlinux:nf_log_buf_close {$m=(uint8*)args->m; $buf=str($m+4); if (strcontains($buf, "nat/POSTROUTING")) {printf("%s\n", kstack)}}' 这不比 bcc 之流方便太多了。