无法为kallsyms标记为t的内核函数注册kprobe/kretprobe

核心原因：旧内核kprobe的自我保护黑名单 #

在2.6.32到4.x系列内核中，kprobe框架内置了函数黑名单机制，目的是防止探测kprobe子系统自身的核心辅助函数——比如你提到的kprobe_seq_start、kprobe_seq_next这类用于维护kprobe proc文件系统入口的函数。这类函数被标记为禁止探测，一旦尝试注册kprobe/kretprobe，register_kprobe()就会返回-22（EINVAL，无效参数）。

这个限制是为了避免递归探测引发的系统死循环或崩溃：如果探测kprobe自身的proc处理函数，当用户读取/proc/kprobes这类文件时，会触发被探测的函数，进而再次触发kprobe回调，形成递归调用链，最终导致系统挂起。

为什么新内核（5.x+）可以正常工作？ #

5.x及以上内核对kprobe框架做了优化：

• 要么移除了这类函数的黑名单限制，通过更安全的递归防护机制（比如跟踪当前kprobe调用深度）替代；
• 要么重构了kprobe的proc文件处理逻辑，让这类函数不再存在递归探测的风险，因此允许注册kprobe。

关于用地址注册仍失败的说明 #

即使直接使用函数地址而非符号名，旧内核的kprobe框架依然会通过地址匹配黑名单，所以同样会被拦截返回EINVAL，这不是符号解析的问题。

可行的解决方案 #

• 更换探测目标：避免选择kprobe子系统自身的辅助函数，挑选其他业务逻辑相关的非黑名单函数；
• 内核修改（不推荐）：如果必须探测这类函数，可以手动修改旧内核代码，将目标函数从kprobe_blacklist数组中移除，重新编译内核。但这种操作会带来系统稳定性风险，需谨慎评估。

内容的提问来源于stack exchange，提问作者Jelal