在 Golang 中获取内核符号名称

有志者，事竟成！如果你在学习Golang，那么本文《在 Golang 中获取内核符号名称》，就很适合你！文章讲解的知识点主要包括，若是你对本文感兴趣，或者是想搞懂其中某个知识点，就请你继续往下看吧~

我尝试在 ebpf 中使用 bpf_get_stackid 来使用标志 bpf_f_fast_stack_cmp 查询内核堆栈。

在堆栈映射（bpf_map_type_stack_trace类型）中，我可以根据堆栈id获取符号地址列表。但是当我尝试使用 /proc/kallsyms 来匹配它们时，它们不是同一个。 我已经阅读了 kallsyms 文件并将第一个地址设置为 id（十六进制字符串到 uint64）。不知道如何解决，而且我正在使用 cilium/ebpf 作为 ebpf 库。

我希望能够通过golang代码找到堆栈中的符号名称。

ebpf c 代码：

struct key_t {
    int kernel_stack_id;
};

struct {
    __uint(type, bpf_map_type_perf_event_array);
} counts sec(".maps");

struct {
    __uint(type, bpf_map_type_stack_trace);
    __uint(key_size, sizeof(u32));
    __uint(value_size, 100 * sizeof(u64));
    __uint(max_entries, 10000);
} stacks sec(".maps");

sec("kprobe/blk_account_io_start")
int bpf_blk_account_io_start(struct pt_regs *ctx) {
    // create map key
    struct key_t key = {};

    // get stacks
    key.kernel_stack_id = bpf_get_stackid(ctx, &stacks, bpf_f_fast_stack_cmp);

    bpf_perf_event_output(ctx, &counts, bpf_f_current_cpu, &key, sizeof(key));
    return 0;
}

golang代码：

type Event struct {
    KernelStackId uint32
}

// Read Event
rd, _ := perf.NewReader(objs.Counts, os.Getpagesize())
record, _ := rd.Read()
binary.Read(bytes.NewBuffer(record.RawSample), binary.LittleEndian, &event)
stackIdList := make([]uint64, 100)
objs.Stacks.Lookup(event.KernelStackId, &stackIdList)

// Read kernel symbols
file, err := os.Open("/proc/kallsyms")
scanner := bufio.NewScanner(file)
for scanner.Scan() {
    info := strings.Split(scanner.Text(), " ")
    atoi, err := strconv.ParseUint(info[0], 16, 64)

    for _, addr := range stackIdList {
        if atoi == addr {
            fmt.Printf("Found the kernel symbol: %s", info[2])
            break
        }
    }
}

正确答案

警告：这可能是错误的。

我不确定 kernel/ebpf 如何设法将调用堆栈组合在一起，但通常调用堆栈中的条目是从堆栈帧的返回地址收集的。这意味着这些条目代表的不是被调用函数的内存地址，而是函数被调用的位置。

因此，您可能不想从 /proc/kallsyms 中查找精确匹配，而是尝试查找低于条目的最高内存地址的符号，这应该是调用者的符号。

参考：

• https://en.wikipedia.org/wiki/Call_stack

以上就是《在 Golang 中获取内核符号名称》的详细内容，更多关于的资料请关注golang学习网公众号！