如何在BPF探针中获取CLOCK_BOOTTIME格式的当前时间（兼容非进程上下文场景）

安全阿岳

2026-4-27

获取BPF探针中的CLOCK_BOOTTIME时间：分版本与上下文的解决方案

你提到的问题很典型——在BPF中获取CLOCK_BOOTTIME时间需要兼顾内核版本兼容性和执行上下文（进程/非进程）。下面分两种场景给出最优方案：

1. 内核5.8及以上：直接使用`bpf_ktime_get_boot_ns()`

这是最简洁且可靠的方案，内核5.8引入的bpf_ktime_get_boot_ns()辅助函数直接返回CLOCK_BOOTTIME格式的纳秒级时间，而且完全不依赖进程上下文（在中断、软irq等非进程场景下也能正常工作），完美匹配你的需求。

示例BPF代码片段：

#include <vmlinux.h>
#include <bpf/bpf_helpers.h>

SEC("tracepoint/syscalls/sys_enter_execve")
int trace_execve(struct trace_event_raw_sys_enter *ctx) {
    u64 boot_time_ns = bpf_ktime_get_boot_ns();
    
    // 记录其他信息：UID、GID、nspid等
    u32 uid = bpf_get_current_uid_gid() & 0xFFFFFFFF;
    u32 gid = (bpf_get_current_uid_gid() >> 32) & 0xFFFFFFFF;
    u64 nspid = bpf_get_current_pid_tgid() & 0xFFFFFFFF;
    
    // 输出或存储数据...
    return 0;
}

这个函数的行为完全符合CLOCK_BOOTTIME定义：从系统启动开始计时，包含系统休眠的时间，和/proc/<pid>/stat中的start_boottime字段对齐。

2. 内核5.8以下：兼容方案（分上下文处理）

如果需要支持更早的内核版本，就得用变通方法，这里分两种执行场景：

场景A：进程上下文（如sys_execve探针）

你提到的公式是完全有效的，而且精度很高：

u64 current_monotonic = bpf_ktime_get_ns();
u64 boot_time_offset = current->start_boottime - current->start_time;
u64 current_boot_time = current_monotonic + boot_time_offset;

current->start_boottime是进程启动时的CLOCK_BOOTTIME时间，current->start_time是对应CLOCK_MONOTONIC时间，两者的差值就是进程启动时系统累计的休眠时间。
当前的CLOCK_BOOTTIME = 当前的CLOCK_MONOTONIC + 累计休眠时间，所以这个计算是准确的，而且和/proc/<pid>/stat的字段完全对齐。

场景B：非进程上下文（如中断、kprobe在非进程函数）

此时没有current指针可以依赖，需要通过用户空间维护一个全局的时间偏移量：

用户空间初始化：用clock_gettime()分别获取CLOCK_MONOTONIC和CLOCK_BOOTTIME的当前时间，计算差值offset = boot_time - monotonic_time，将这个值写入一个BPF数组map。
BPF程序中使用：读取map中的偏移量，加上bpf_ktime_get_ns()得到当前CLOCK_BOOTTIME时间。

示例代码片段：

BPF侧：

struct {
    __uint(type, BPF_MAP_TYPE_ARRAY);
    __uint(max_entries, 1);
    __type(key, u32);
    __type(value, u64);
} boot_offset_map SEC(".maps");

SEC("kprobe/some_non_process_function")
int trace_non_process_ctx(void *ctx) {
    u32 key = 0;
    u64 *offset = bpf_map_lookup_elem(&boot_offset_map, &key);
    if (!offset) return 0;
    
    u64 current_boot_time = bpf_ktime_get_ns() + *offset;
    // 处理数据...
    return 0;
}

用户空间侧（C语言示例）：

#include <time.h>
#include <bpf/libbpf.h>

int main() {
    // 加载BPF程序等初始化步骤...
    
    struct timespec monotonic, boot;
    clock_gettime(CLOCK_MONOTONIC, &monotonic);
    clock_gettime(CLOCK_BOOTTIME, &boot);
    
    u64 offset = (boot.tv_sec * 1e9 + boot.tv_nsec) - (monotonic.tv_sec * 1e9 + monotonic.tv_nsec);
    u32 key = 0;
    bpf_map_update_elem(bpf_map__fd(boot_offset_map), &key, &offset, BPF_ANY);
    
    // 定期更新偏移量（可选，因为系统休眠后offset会变化）
    while (1) {
        sleep(5);
        clock_gettime(CLOCK_MONOTONIC, &monotonic);
        clock_gettime(CLOCK_BOOTTIME, &boot);
        offset = (boot.tv_sec * 1e9 + boot.tv_nsec) - (monotonic.tv_sec * 1e9 + monotonic.tv_nsec);
        bpf_map_update_elem(bpf_map__fd(boot_offset_map), &key, &offset, BPF_ANY);
    }
    
    return 0;
}

注意：这个方法会有微小误差（因为用户空间计算和BPF读取的时间差），但对于大多数监控场景来说完全可以接受。如果需要更高精度，可以考虑用内核模块来维护这个偏移量，但这就失去了BPF的无侵入优势。

总结一下：

如果你只需要支持5.8+内核，优先用bpf_ktime_get_boot_ns()，简单又可靠。
低版本内核下，进程上下文用current的时间差值计算，非进程上下文用用户空间维护的全局偏移量。

内容的提问来源于stack exchange，提问作者patraulea