Linux内核 eBPF基础
ftrace基础：ftrace_init初始化
荣涛
2021年5月12日
本文相关注释代码：https://github.com/Rtoax/linux-5.10.13从整体架构来看，ftrace位于内核态，提供对内核函数的trace功能。图片链接：http://tinylab.org/ftrace-principle-and-practice/静态探测点，
转载
2024-01-04 19:39:54
141阅读
android BLE系列：android蓝牙BLE（一） —— 扫描android蓝牙BLE（二） —— 通信android蓝牙BLE（三） —— 广播一、蓝牙基础协议 想了解蓝牙通信之前，需要先了解蓝牙两个最基本的协议：GAP 和 GATT。1、GAP（Generic Access Profile）简介  
转载
2023-07-10 00:18:00
185阅读
运行在 Android 上的难题BCC 及 BPFTrace 使用的是基于 CMake 的编译方式，与 Android 使用的 gradle，Android BP 的编译系统是不一致的BCC 项目中以 python 包为基础，那意味着需要有 python 运行环境，这在 anroid 里也是没有的可行的思路思考可行的思路，可以使用的方案如下没条件就创造条件，将 BCC&BPFT
eBPF技术风靡当下，eBPF字节码正以星火燎原之势被HOOK在Linux内核中越来越多的位置，在这些HOOK点上，我们可以像编写普通应用程序一样编写内核的HOOK程序，与以往为了实现一个功能动辄patch一整套逻辑框架代码(比如基于Netfilter的iptales，freeswan，ipvs…)相比，eBPF的工作方式非常简便且灵活。我们先来看一下目前eBPF的一些重要HOOK点： 将来这个i
android ebpf应用是一个新兴的领域，特别是在移动设备的大环境下，eBPF（Extended Berkeley Packet Filter）为Android平台提供了高效的网络包过滤、性能分析和安全监测等能力。在这篇文章中，我将深入探讨android eBPF应用的实现及挑战，同时按照逻辑结构详细记录这个过程。
## 协议背景
首先必须了解eBPF的基本概念和其在Android中的应用
一、eBPF是什么eBPF是extended BPF的缩写，而BPF是Berkeley Packet Filter的缩写。对linux网络比较熟悉的伙伴对BPF应该比较了解，它通过特定的语法规则使用基于寄存器的虚拟机来描述包过滤的行为。比较常用的功能是通过过滤来统计流量，tcpdump工具就是基于BPF实现的。而eBPF对它进行了扩展来实现更多的功能。主要区别如下：1）允许使用C 语言编写代码片段
转载
2021-05-11 14:56:40
1064阅读
1. 前言我们可以使用BPF对Linux内核进行跟踪，收集我们想要的内核数据，从而对Linux中的程序进行分析和调试。与其它的跟踪技术相比，使用BPF的主要优点是几乎可以访问Linux内核和应用程序的任何信息，同时，BPF对系统性能影响很小，执行效率很高，而且开发人员不需要因为收集数据而修改程序。本文将介绍保证BPF程序安全的BPF验证器，然后以BPF程序的工具集BCC为例，分享kprobes和t
转载
2021-05-11 15:05:13
533阅读
一、简介1. Android 从9.0版本开始全面支持eBPF，其主要用在流量统计上。此外，eBPF可以与内核的 kprobe/tracepoints/skfilter 等模块相结合，hook内核事件从而监控相应的系统状态。二、bpf服务启动与程序加载1. Android 为 eBPF 提供了许多封装的库，并设计了 eBPF 加载器 bpfloader，主要模块如下：(1) bpfloader:
转载
2023-08-02 17:00:15
876阅读
通过本篇 eBPF 入门实践教程，我们深入了
原创
2023-06-10 01:03:31
148阅读
1. ebpf概述1.1 ebpf发展历史 BPF，及伯克利包过滤器Berkeley Packet Filter，最初构想提出于 1992 年，其目的是为了提供一种过滤包的方法，并且要避免从内核空间到用户空间的无用的数据包复制行为。它最初是由从用户空间注入到内核的一个简单的字节码构成，它在那个位置利用一个校验器进行检查 —— 以避免内核崩溃或者安全问题 —— 并附着到一个套接字上，接着在每个接收到
转载
2024-05-27 14:37:43
167阅读
通过本篇 eBPF 入门实践教程，我们学习了如
原创
2023-06-10 01:02:52
243阅读
在 Android shell 中查看内核编译选项可以
原创
2023-06-10 01:02:36
190阅读
eBPF 不仅诞生于网络过滤，它在网络方面的应用也是最为广泛和活跃的。由于内核协议栈也是内核的核心组成部分，前几讲我们讲到的 kprobe 跟踪、uprobe/USDT 跟踪等，也都可以应用到网络问题的跟踪和排查上来。由于内核协议栈相对比较复杂，在排查网络问题时，我们可以从内核调用栈入手。
原创
精选
2024-02-10 20:41:05
539阅读
点赞
eBPF 介绍 Tcpdump 是Linux 平台常用的网络数据包抓取及分析工具，tcpdump 主要通过libpcap 实现，而libpcap 就是基于eBPF。 先介绍BPF（Berkeley Packet Filter），BPF 是基于寄存器虚拟机实现的，支持 JIT(Just-In-Time
转载
2021-06-24 13:42:50
1426阅读
点赞
本ython代码的实时追踪、沙箱策略构建和运行时监控，有效防御远程代码执行等安全威胁。 ...
本文出现了大量maven的内容，更适合java程序员阅读，如果你的语言做依赖管理的方案与maven差异很大，可能在有些地方会不理解 从很久之前go语言在依赖解决和管理方面方案的匮乏就被不少人诟病。光指望go get指令，很多事办不成。我也不清楚从什么时候开始，dep，这个官方的解决方案开始被推广了。从说明上看，不会早于go 1.8，从github的源代码上看，至少开源不会超过1年 官方对于
转载
2024-05-29 22:23:37
60阅读
1.BPF起源BPF源头起源于一篇1992年的论文，这篇论文主要提出一种新的网络数据包的过滤的框架，如下图所示。提出bpf的原因其实也很简单，早期我们从网卡中接收到很多的数据包，我们要想从中过滤出我们想要的数据包，我们需要将网卡接收的数据包都要从内核空间拷贝一份到用户空间。然后，用户程序在对这些进行过滤。那么，我们可以从中就能够发现一个问题。数据包必须全部拷贝。然后再过滤出所需的数据包，那么对于那
转载
2021-05-11 15:06:25
595阅读
一、介绍简要介绍eBPF 全称"扩展的伯克利数据包过滤器 (Extended Berkeley Packet Filter)" ，是从 BPF (Berkeley Packet Filter) 技术扩展而来的，顾名思义 BPF 技术来源于伯克利大学，最早应用于网络数据包过滤器，它比当时最先进的抓包技术快20倍。随着内核的发展，BPF 的功能随之丰富以及扩展，从最早的数据包过滤扩展到了网络、内核、安
原创
2024-03-12 09:04:46
557阅读
实现 "ebpf TOA" 的步骤和代码解释：
## 1. 了解 eBPF TOA
首先，让我们来了解一下 "ebpf TOA" 是什么。ebpf TOA 是一种使用 eBPF（Extended Berkeley Packet Filter）技术来实现的网络数据包透明传输的方法。它可以在数据包经过 Linux 内核网络协议栈的各个层级时，对数据包进行处理和修改，以实现各种网络功能。
## 2
原创
2024-01-10 00:13:46
160阅读
1.什么是ebpf
ebpf（extended berkeley package filter），中文意思扩展的伯克利包过滤器，随着ebpf不断完善和加强，现在的ebpf已经不在限于过滤网络数据包了。
2.基本原理
网上很有名的图，参考：https://cloud.tencent.com/developer/article/1970119
其实就是在用户态，将c语言程序编译成bpf字节码（使用c
