WSL / Ubuntu 22.04 - bpftool 설치
아래의 글에 보면,
[eBPF] CO-RE (Compile Once - Run Everywhere) 기능 분석
; https://velog.io/@haruband/eBPF-CO-RE-Compile-Once-Run-Everywhere-기능-분석
bpftool에 대한 소개가 나옵니다. 아직은 직접 빌드하는 형식으로만 제공하는 듯한데요,
bpftool
; https://github.com/libbpf/bpftool/blob/main/README.md
대충 이렇게 빌드할 수 있습니다.
// sudo apt install make -y
// sudo apt install libelf-dev -y
$ git clone --recurse-submodules https://github.com/libbpf/bpftool.git
$ cd bpftool/src
$ make
$ sudo make install
... libbfd: [ OFF ]
... clang-bpf-co-re: [ OFF ]
... llvm: [ OFF ]
... libcap: [ OFF ]
...[생략]...
$ which bpftool
/usr/local/sbin/bpftool
$ bpftool
Usage: bpftool [OPTIONS] OBJECT { COMMAND | help }
bpftool batch file FILE
bpftool version
OBJECT := { prog | map | link | cgroup | perf | net | feature | btf | gen | struct_ops | iter }
OPTIONS := { {-j|--json} [{-p|--pretty}] | {-d|--debug} |
{-V|--version} }
bpftool의 재미있는 기능으로 BTF(BPF Byte Type Fromat) 형식으로 저장된 커널의 구조체를 덤프할 수 있다는 점입니다. 윈도우의
Windbg 사용자라면 dt 명령어로 알아내는 것과 유사하다고 보면 되는데요, 예를 들어 WSL/Ubuntu 22.04 (5.15.153.1-microsoft-standard-WSL)에서 task_struct 구조체를 찾아,
$ /usr/local/sbin/bpftool btf dump file /sys/kernel/btf/vmlinux format raw | grep task_struct
[127] STRUCT 'task_struct' size=7296 vlen=200
[12531] FUNC 'arch_dup_task_struct' type_id=12530 linkage=static
[15844] FUNC '__put_task_struct_rcu_cb' type_id=15807 linkage=static
[15845] FUNC '__put_task_struct' type_id=12295 linkage=static
[15856] FUNC 'arch_release_task_struct' type_id=12295 linkage=static
[16153] FUNC 'put_task_struct_rcu_user' type_id=13021 linkage=static
[16154] FUNC 'delayed_put_task_struct' type_id=15807 linkage=static
그 구조체의 상위 5개 필드를 이렇게 덤프할 수 있습니다.
$ /usr/local/sbin/bpftool btf dump file /sys/kernel/btf/vmlinux format raw | grep -A 5 '\[127]'
[127] STRUCT 'task_struct' size=7296 vlen=200
'thread_info' type_id=235 bits_offset=0
'__state' type_id=6 bits_offset=192
'stack' type_id=81 bits_offset=256
'usage' type_id=393 bits_offset=320
'flags' type_id=6 bits_offset=352
BTF와 eBPF의 조합이 재미있는 것은, 저 커널 구조체의 필드를 지정하는 방식이 단순히 이름이 아닌 위치로도 지정할 수 있다는 점입니다. (이에 대해서는
https://velog.io/@haruband/eBPF-CO-RE-Compile-Once-Run-Everywhere-기능-분석 글을 참고하세요.)
Device Driver를 다뤄 본 적이 있다면 위의 기능이 얼마나 흥미로운지 알 수 있을 텐데요, 저도 나름 윈도우 환경에서 커널 구조체의 필드가 달라지는 상황이 귀찮아서 이런 글을 쓴 적도 있습니다.
C# - 커널 구조체의 Offset 값을 하드 코딩하지 않고 사용하는 방법
; https://www.sysnet.pe.kr/2/0/12098
참고로, 윈도우용 ebpf repo를 공개하고 있는 상황에서,
ebpf-for-windows
; https://github.com/microsoft/ebpf-for-windows
커널 구조체를 얼마나 버전 독립적으로 다룰 수 있게 할지 기대가 됩니다. ^^
이런 오류가 발생한다면?
In file included from bpf.c:37:
libbpf_internal.h:19:10: fatal error: libelf.h: No such file or directory
19 | #include <libelf.h>
| ^~~~~~~~~~
compilation terminated.
"sudo apt install libelf-dev -y" 설치를 하면 됩니다.
[이 글에 대해서 여러분들과 의견을 공유하고 싶습니다. 틀리거나 미흡한 부분 또는 의문 사항이 있으시면 언제든 댓글 남겨주십시오.]