如何在eBPF Uprobe中从函数参数结构体获取指定字段值

以下几种方法可以避免复制完整的client结构体定义，直接从Uprobe参数中提取目标字段：

1. 直接通过内存偏移量访问 #

先获取目标字段相对于client结构体起始地址的偏移值，然后在eBPF程序中通过指针偏移计算地址：

• 获取偏移的方式：
  • 用pahole工具分析Redis二进制：pahole -C client redis-server，输出中会显示每个字段的offset值。
  • 或者用GDB调试Redis：启动gdb redis-server，执行print &((struct client*)0)->target_field，结果的数值就是偏移量（比如输出0x18，表示偏移24字节）。
• eBPF代码示例：
  假设要获取client->fd，偏移量为0x10：

  SEC("uprobe/processCommand")
  int uprobe_processCommand(struct pt_regs *ctx) {
      struct client *c = (struct client *)PT_REGS_PARM1(ctx); // 假设第一个参数是client*
      uint64_t fd = *(uint64_t *)((uint64_t)c + 0x10);
      // 处理fd...
      return 0;
  }
  

• 注意：偏移量和Redis的编译版本、架构（x86/ARM）直接相关，更换版本或架构需要重新计算。

2. 利用CO-RE特性借助BTF访问 #

如果你的环境支持CO-RE（Compile Once - Run Everywhere），可以直接通过BTF（BPF Type Format）信息自动解析结构体字段：

• 前提条件：
  • Redis二进制编译时带有调试信息（加-g参数），或者系统/发行版提供了Redis的BTF文件。
  • 使用libbpf-bootstrap等支持CO-RE的eBPF开发框架。
• eBPF代码示例：

  #include "vmlinux.h"
  // 无需手动定义client结构体，BTF会自动提供类型信息
  SEC("uprobe/processCommand")
  int uprobe_processCommand(struct pt_regs *ctx) {
      struct client *c = (struct client *)PT_REGS_PARM1(ctx);
      // 直接访问嵌套字段，比如client->conn->fd
      uint64_t fd = c->conn->fd;
      // 处理字段...
      return 0;
  }
  

• 优势：无需手动计算偏移或定义结构体，只要BTF信息正确，就能跨版本/架构兼容。

3. 定义最小化的结构体 #

只保留client结构体中到目标字段为止的必要字段（包括嵌套结构体的必要层级），保证字段的类型、顺序和真实结构体一致：

• 示例：如果要获取client->cmd->name，只需定义：

  // 只保留redisCmd结构体中name字段的必要部分
  struct redis_cmd_min {
      char *name;
      // 如果name不是第一个字段，需要保留前面的字段（类型、顺序和原结构体一致）
  };
  
  // 只保留client结构体中cmd字段的必要部分
  struct client_min {
      struct redis_cmd_min *cmd;
      // 如果cmd不是第一个字段，保留前面的字段（类型、顺序和原结构体一致）
  };
  

• eBPF代码中使用：

  SEC("uprobe/processCommand")
  int uprobe_processCommand(struct pt_regs *ctx) {
      struct client_min *c = (struct client_min *)PT_REGS_PARM1(ctx);
      char *cmd_name = c->cmd->name;
      // 处理cmd_name...
      return 0;
  }
  

• 注意：必须保证最小化结构体的字段顺序、类型和原结构体完全匹配，否则会出现内存访问错误。

内容的提问来源于stack exchange，提问作者Franz Li