移除bpf_tail_call后PID隐藏失效及系统过载问题求助

问题1：移除bpf_tail_call合并代码后失效且系统过载的原因 #

• 时机和上下文错配：原示例里的handle_getdents_patch大概率是在getdents系统调用返回的关键节点（数据还未完全传给用户空间时）处理目录项缓冲区，你直接合并到handle_getdents_exit时，内核要么已经完成数据拷贝，要么权限已切换，修改用户空间内存的操作要么完全不生效，要么触发内核反复做内存校验，直接拖慢系统。
• 触发eBPF指令数限制：单个eBPF函数的指令数有严格上限，合并遍历目录项的逻辑后，函数指令数可能超限，内核会强制截断程序或让程序反复重试，直接导致系统过载。
• 内存访问逻辑出错：原handle_getdents_patch应该有正确的内存边界检查和安全访问方式（比如用bpf_probe_read_user读取用户空间数据），合并后你可能没处理好遍历边界，导致无限循环或反复读取无效内存，既让PID隐藏逻辑失效，又拖垮系统性能。

问题2：正确实现多PID隐藏的方法 #

• 维护PID哈希表：创建一个BPF_MAP_TYPE_HASH类型的eBPF map，键用u32存储要隐藏的PID，值用任意占位符（比如u8）即可，用户态程序可以动态往里面添加或删除要隐藏的PID。
• 在正确时机过滤目录项：在getdents系统调用返回的合适阶段（数据还未完全到用户空间时），遍历用户空间的dirent结构链表：
  1. 读取每个dirent的d_name，转换为数字格式的PID；
  2. 检查该PID是否存在于哈希表中；
  3. 如果存在，修改当前dirent的d_reclen字段，将其设置为当前条目长度加下一条目的长度，让用户空间遍历目录时自动跳过该PID目录。
• 规避性能问题：
  • 给目录项遍历设置边界限制，避免无意义的内存访问；
  • 继续用bpf_tail_call拆分复杂逻辑，防止单个函数指令数超标；
  • 哈希表查询直接用PID做键匹配，减少不必要的计算开销。

内容的提问来源于stack exchange，提问作者Jelal