基于libbpf编写的eBPF程序,用于追踪的是内核里当删除文件时会调用的do_unlinkat()函数,案例一演示了如何使用fentry/fexit来追踪Linux内核函数的调用和返回,案例二演示了如何使用kprobe/kretprobe来追踪Linux内核函数的调用和返回。
基于libbpf编写eBPF程序,案例一实现对用户态函数的入口(uprobe)和返回(uretprobe)的跟踪,案例二实现对用户态静态探针(USDT probe)的跟踪。
基于libbpf编写eBPF程序的高级框架bootstrap,综合演示了BPF CO-RE、tracepoint附加、BPF映射(哈希表、Ring Buffer)、eBPF与用户态通信等。
基于libbpf编写eBPF程序的基本框架minimal,该示例加载并附加一个tracepoint,只跟踪当前进程的write()调用,并用bpf_printk打印内核日志。
基于BCC开发eBPF程序,实现对文件读写操作的监听,同时根据规则拦截文件读写操作。
部署基于BCC的eBPF开发环境,并基于BCC开发最基本的eBPF程序。