# 捕获进程发送信号的系统调用集合，使用 hash map 保存状态 - bpf-developer-tutorial

# eBPF 入门开发实践教程六：捕获进程发送信号的系统调用集合，使用 hash map 保存状态

eBPF (Extended Berkeley Packet Filter) 是 Linux 内核上的一个强大的网络和性能分析工具，它允许开发者在内核运行时动态加载、更新和运行用户定义的代码。

本文是 eBPF 入门开发实践教程的第六篇，主要介绍如何实现一个 eBPF 工具，捕获进程发送信号的系统调用集合，使用 hash map 保存状态。

## sigsnoop

示例代码如下：

    #include <vmlinux.h>
    #include <bpf/bpf_helpers.h>
    #include <bpf/bpf_tracing.h>

    #define MAX_ENTRIES 10240
    #define TASK_COMM_LEN 16

    struct event {
     unsigned int pid;
     unsigned int tpid;
     int sig;
     int ret;
     char comm[TASK_COMM_LEN];
    };

    struct {
     __uint(type, BPF_MAP_TYPE_HASH);
     __uint(max_entries, MAX_ENTRIES);
     __type(key, __u32);
     __type(value, struct event);
    } values SEC(".maps");

    static int probe_entry(pid_t tpid, int sig)
    {
     struct event event = {};
     __u64 pid_tgid;
     __u32 tid;

     pid_tgid = bpf_get_current_pid_tgid();
     tid = (__u32)pid_tgid;
     event.pid = pid_tgid >> 32;
     event.tpid = tpid;
     event.sig = sig;
     bpf_get_current_comm(event.comm, sizeof(event.comm));
     bpf_map_update_elem(&values, &tid, &event, BPF_ANY);
     return 0;
    }

    static int probe_exit(void *ctx, int ret)
    {
     __u64 pid_tgid = bpf_get_current_pid_tgid();
     __u32 tid = (__u32)pid_tgid;
     struct event *eventp;

     eventp = bpf_map_lookup_elem(&values, &tid);
     if (!eventp)
      return 0;

     eventp->ret = ret;
     bpf_printk("PID %d (%s) sent signal %d ",
    		   eventp->pid, eventp->comm, eventp->sig);
     bpf_printk("to PID %d, ret = %d",
    		   eventp->tpid, ret);

    cleanup:
     bpf_map_delete_elem(&values, &tid);
     return 0;
    }

    SEC("tracepoint/syscalls/sys_enter_kill")
    int kill_entry(struct trace_event_raw_sys_enter *ctx)
    {
     pid_t tpid = (pid_t)ctx->args[0];
     int sig = (int)ctx->args[1];

     return probe_entry(tpid, sig);
    }

    SEC("tracepoint/syscalls/sys_exit_kill")
    int kill_exit(struct trace_event_raw_sys_exit *ctx)
    {
     return probe_exit(ctx, ctx->ret);
    }

    char LICENSE[] SEC("license") = "Dual BSD/GPL";

上面的代码定义了一个 eBPF 程序，用于捕获进程发送信号的系统调用，包括 kill、tkill 和 tgkill。它通过使用 tracepoint 来捕获系统调用的进入和退出事件，并在这些事件发生时执行指定的探针函数，例如 probe_entry 和 probe_exit。

在探针函数中，我们使用 bpf_map 存储捕获的事件信息，包括发送信号的进程 ID、接收信号的进程 ID、信号值和进程的可执行文件名称。在系统调用退出时，我们将获取存储在 bpf_map 中的事件信息，并使用 bpf_printk 打印进程 ID、进程名称、发送的信号和系统调用的返回值。

最后，我们还需要使用 SEC 宏来定义探针，并指定要捕获的系统调用的名称，以及要执行的探针函数。

eunomia-bpf 是一个结合 Wasm 的开源 eBPF 动态加载运行时和开发工具链，它的目的是简化 eBPF 程序的开发、构建、分发、运行。可以参考 https://github.com/eunomia-bpf/eunomia-bpf 下载和安装 ecc 编译工具链和 ecli 运行时。我们使用 eunomia-bpf 编译运行这个例子。

编译运行上述代码：

    docker run -it -v `pwd`/:/src/ ghcr.io/eunomia-bpf/ecc-`uname -m`:latest

或者

    $ ecc sigsnoop.bpf.c
    Compiling bpf object...
    Generating export types...
    Packing ebpf object and config into package.json...
    $ sudo ecli run package.json
    Runing eBPF program...

运行这段程序后，可以通过查看 /sys/kernel/debug/tracing/trace_pipe 文件来查看 eBPF 程序的输出：

    $ sudo cat /sys/kernel/debug/tracing/trace_pipe
    	systemd-journal-363     [000] d...1   672.563868: bpf_trace_printk: PID 363 (systemd-journal) sent signal 0
     	systemd-journal-363     [000] d...1   672.563869: bpf_trace_printk: to PID 1400, ret = 0
     	systemd-journal-363     [000] d...1   672.563870: bpf_trace_printk: PID 363 (systemd-journal) sent signal 0
     	systemd-journal-363     [000] d...1   672.563870: bpf_trace_printk: to PID 1527, ret = -3

## 总结

本文主要介绍如何实现一个 eBPF 工具，捕获进程发送信号的系统调用集合，使用 hash map 保存状态。使用 hash map 需要定义一个结构体：

    struct {
     __uint(type, BPF_MAP_TYPE_HASH);
     __uint(max_entries, MAX_ENTRIES);
     __type(key, __u32);
     __type(value, struct event);
    } values SEC(".maps");

并使用一些对应的 API 进行访问，例如 bpf_map_lookup_elem、bpf_map_update_elem、bpf_map_delete_elem 等。

更多的例子和详细的开发指南，请参考 eunomia-bpf 的官方文档：https://github.com/eunomia-bpf/eunomia-bpf

如果您希望学习更多关于 eBPF 的知识和实践，可以访问我们的教程代码仓库 https://github.com/eunomia-bpf/bpf-developer-tutorial 以获取更多示例和完整的教程。