BPFプログラムからカーネル内のデータ構造にアクセスする方法 - 睡分不足

BPFプログラムからカーネル内のデータ構造にアクセスする方法 - 睡分不足

kprobeやtracepointなどにアタッチしたBPFプログラムは，BPF_FUNC_probe_read()関数でカーネル内のデー...概要を表示 kprobeやtracepointなどにアタッチしたBPFプログラムは，BPF_FUNC_probe_read()関数でカーネル内のデータ構造にアクセスすることができます．これはprobe_kernel_read()のラッパーで，もし変な領域にアクセスしようした場合（page faultが発生した場合）は-EFAULTが返ります． また，BPF_FUNC_get_current_task()でcurrentのtask_structを得ることができます． 例として，/bin/catが実行されたときに，そのプロセスのvm_area_structの中身をダンプするプログラムを書いてみます．bccを利用して以下のように書けます． #!/usr/bin/env python import bcc text = r""" #include <linux/ptrace.h> #include <linu