如何在Linux内核中使用mmap读取文件？（kprobe挂钩场景）

首先明确回答：完全可行。内核态确实不能直接调用用户态系统调用，但提供了一套内核原生的文件操作和内存映射接口，完全可以实现你的需求。下面是具体的实现思路和注意事项：

一、核心思路概述 #

你需要在内核态完成两个关键步骤：打开文件获取内核文件结构体，然后将文件内容映射到内核虚拟地址空间（或通过页缓存直接访问），既避免用户态系统调用的开销，又符合内核编程规范。

二、具体实现步骤 #

1. 在内核态打开目标文件 #

内核提供filp_open()函数来打开文件，替代用户态的open()系统调用。示例代码如下：

struct file *file = filp_open("/path/to/your/file", O_RDONLY, 0);
if (IS_ERR(file)) {
    // 处理打开错误，比如打印日志或返回错误码
    pr_err("Failed to open file, err: %ld\n", PTR_ERR(file));
    return;
}

• 注意事项：
  • 路径必须是内核可见的绝对路径；若要处理用户态进程的相对路径，需确保当前处于进程上下文（kprobe多数情况下运行在进程上下文，但如果探测的是中断/原子上下文函数则需谨慎）。
  • filp_open()可能会触发睡眠（比如等待页缓存），因此不能在禁止睡眠的上下文（如硬中断）中调用。

2. 映射文件内容到内核地址空间 #

内核态没有直接的mmap()系统调用等价函数，但可以通过页缓存机制直接访问文件的物理页，避免数据拷贝：

struct inode *inode = file->f_inode;
struct address_space *mapping = inode->i_mapping;
loff_t pos = 0; // 文件起始偏移
unsigned int file_size = i_size_read(inode);

while (pos < file_size) {
    unsigned long offset_in_page = pos & (PAGE_SIZE - 1);
    unsigned int read_len = min(PAGE_SIZE - offset_in_page, file_size - pos);
    struct page *page;

    // 从页缓存读取文件页，若不存在则从磁盘加载
    page = read_mapping_page(mapping, pos >> PAGE_SHIFT, NULL);
    if (IS_ERR(page)) {
        pr_err("Failed to read page, err: %ld\n", PTR_ERR(page));
        break;
    }

    // 将物理页映射到内核虚拟地址
    void *kernel_addr = kmap(page);
    if (!kernel_addr) {
        pr_err("Failed to kmap page\n");
        put_page(page);
        break;
    }

    // 这里可以直接访问kernel_addr + offset_in_page，读取文件内容
    // 示例：打印前10字节内容
    if (read_len >= 10) {
        pr_info("File content at pos %lld: %.*s\n", pos, 10, (char*)kernel_addr + offset_in_page);
    }

    // 解除映射并释放页引用
    kunmap(page);
    put_page(page);

    pos += read_len;
}

• 关键函数说明：
  • read_mapping_page()：从文件的address_space中读取指定页，自动处理页缓存命中/缺失逻辑。
  • kmap()：将物理页映射到内核虚拟地址空间，允许内核直接访问页内容。
  • kunmap()和put_page()：完成访问后必须解除映射并释放页引用，避免内存泄漏。

3. 关闭文件并清理资源 #

完成文件访问后，必须关闭文件结构体，释放内核资源：

filp_close(file, NULL);

三、关键注意事项 #

• 上下文限制：如果你的kprobe钩子运行在原子上下文（比如探测中断处理函数、持有自旋锁的代码段），则不能使用filp_open()、read_mapping_page()这些可能睡眠的函数，此时需要改用其他异步方式（比如工作队列）延迟处理文件操作。
• 权限与安全：内核态操作文件不受用户态权限约束，务必确保目标文件路径的合法性，避免被恶意利用（比如不要允许用户可控的路径传入内核）。
• 性能考量：如果需要频繁读取大文件，可以考虑一次性映射多个页，或使用vmalloc()分配连续虚拟地址后通过remap_pfn_range()映射，但这种方式仅适用于物理连续的页（比如块设备的连续区域），普通文件的页缓存通常是离散的，因此遍历单页的方式更通用。

内容的提问来源于stack exchange，提问作者Georg Schölly