搜索

[16271] 2021-01-02_Tracee：如何使用eBPF来追踪容器和系统事件

文档创建者：s7ckTeam
浏览次数：14
最后更新：2025-01-18
2021-01-02_Tracee：如何使用eBPF来追踪容器和系统事件 T r a c e e ： 如 何 使 用 e B P F 来 追 踪 容 器 和 系 统 事 件 A l p h a _ h 4 c k   F r e e B u f   2 0 2 1 - 0 1 - 0 2 T r a c e e T r a c e e 是 一 款 易 于 使 用 的 轻 量 级 容 器 和 系 统 追 踪 工 具 ， 在 该 工 具 的 帮 助 下 ， 研 究 人 员 可 以 实 时 监 控 系 统 调 用 和 其 他 系 统 事 件 。 T r a c e e 的 独 特 之 处 就 在 于 ， 它 只 会 追 踪 新 创 建 的 进 程 和 容 器 ， 也 就 是 T r a c e e 运 行 之 后 所 开 启 的 进 程 和 容 器 ， 这 样 就 可 以 帮 助 用 户 将 注 意 力 放 在 相 关 事 件 上 ， 而 不 是 系 统 中 所 发 生 的 每 一 件 事 情 。 向 T r a c e e 添 加 新 事 件 （ 尤 其 是 系 统 调 用 ） 也 非 常 简 单 ， 而 且 无 需 手 写 任 何 代 码 。 除 了 追 踪 功 能 之 外 ， T r a c e e 还 能 够 捕 捉 到 写 入 磁 盘 或 内 存 的 文 件 ， 并 提 取 动 态 加 载 至 应 用 程 序 内 存 中 的 代 码 。 在 这 些 功 能 的 帮 助 下 ， 我 们 将 能 够 获 取 到 运 行 进 程 的 内 部 情 况 。 工 具 依 赖 工 具 依 赖 T r a c e e 要 求 运 行 系 统 的 L i n u x 内 核 版 本   > =   4 . 1 4 。 如 果 使 用 D o c k e r 镜 像 的 话 ， 还 需 要 满 足 下 列 条 件 ： C 标 准 库 ； l i b e l f 和 z l i b 库 ； c l a n g   > =   9 ； 如 果 使 用 的 是 预 编 译 的 e B P F 代 码 ， 则 需 要 满 足 下 列 条 件 ： c l a n g   > =   9 ； / u s r / s r c 下 包 含 可 用 的 内 核 H e a d e r ， 由 用 户 提 供 ， 需 匹 配 正 在 运 行 的 内 核 版 本 ； D o c k e r 镜 像 运 行 镜 像 运 行 上 述 命 令 将 会 以 无 参 数 的 形 式 运 行 T r a c e e ， 默 认 会 收 集 所 有 新 创 建 进 程 的 相 关 事 件 ， 并 将 其 以 标 准 输 出 的 形 式 打 印 在 表 格 中 。 安 装 选 项 安 装 选 项 T r a c e e 这 个 程 序 基 于 e B P F 程 序 （ t r a c e e . b p f . $ k e r n e l v e r s i o n . $ t r a c e e v e r s i o n . o ） 实 现 ， 当 T r a c e e 开 始 运 行 后 ， 它 将 会 寻 找 e B P F 程 序 ， 路 径 可 能 是 / t m p / t r a c e e 或 T R A C E E _ B P F _ F I L E 环 境 变 量 定 义 的 路 径 。 如 果 没 有 找 到 e B P F 的 话 ， 程 序 将 会 尝 试 自 动 构 建 e B P F ， 这 一 步 可 以 使 用 — b u i l d - p o l i c y 选 项 来 控 制 。 最 简 单 的 方 法 就 是 让 t r a c e e 程 序 自 动 构 建 e B P F 程 序 ， 我 们 可 以 按 照 下 列 方 式 获 取 可 执 行 程 序 ： 从 项 目 的 G i t H u b 库 上 下 载 （ t a r . g z ） ； 使 用 D o c k e r 镜 像 ： a q u a s e c / t r a c e e （ 已 包 含 所 有 依 赖 组 件 ） ； 使 用 m a k e   b u i l d 命 令 从 源 代 码 构 建 可 执 行 程 序 ； 在 D o c k e r 容 器 中 使 用 源 码 构 建 可 执 行 程 序 ： m a k e   b u i l d   D O C K E R = 1 ； 或 者 说 ， 我 们 也 可 以 预 编 译 e B P F 程 序 ， 并 将 其 提 供 给 t r a c e e 程 序 。 这 样 一 来 ， 我 们 就 不 需 要 用 到 c l a n g 和 内 核 H e a d e r 了 。 我 们 可 以 按 照 下 列 方 式 构 建 e B P F ： 如 需 在 D o c k e r 容 器 中 构 建 ， 请 运 行 下 列 命 令 ： 或 拿 到 e B P F 程 序 之 后 ， 我 们 就 可 以 将 其 提 供 给 T r a c e e 了 。 此 时 ， 我 们 可 以 使 用 更 加 轻 量 级 的 a q u a s e c / t r a c e e : s l i m 镜 像 来 代 替 完 整 的 D o c k e r 镜 像 。 这 个 镜 像 无 法 构 建 e B P F 程 序 ， 因 此 我 们 需 要 预 先 完 成 e B P F 的 构 建 。 权 限 权 限 如 果 T r a c e e 执 行 的 不 是 追 踪 任 务 ， 那 么 它 就 不 需 要 其 他 权 限 。 比 如 说 ， 构 建 e B P F 程 序 、 枚 举 所 有 选 项 等 等 ， 都 能 够 以 普 通 用 户 完 成 。 如 需 执 行 追 踪 任 务 ， T r a c e e 则 需 要 更 高 级 别 的 管 理 员 权 限 了 。 工 具 使 用 工 具 使 用 下 面 给 出 的 是 T r a c e e 的 样 本 输 出 （ 无 额 外 参 数 运 行 ， 默 认 追 踪 所 有 事 件 ） ： d o c k e r   r u n   - - n a m e   t r a c e e   - - r m   - - p r i v i l e g e d   - - p i d = h o s t   - v   / l i b / m o d u l e s / : / l i b / m o d u l e s / : r o   - v   / u s r / s r c : / u s r / s r c : r o   - v   / t m p / t r a c e e : / t m p / t r a c e e   a q u a s e c / t r a c e e m a k e   b p f m a k e   b p f   D O C K E R = 1 m a k e   a l l m a k e   a l l   D O C K E R = 1 T I M E ( s )                 U I D         C O M M                           P I D           T I D           R E T                           E V E N T                                 A R G S
每 一 行 代 表 T r a c e e 所 收 集 到 的 一 个 单 一 事 件 ， 其 中 包 含 下 列 信 息 ： T I M E ： 显 示 系 统 启 动 后 事 件 的 发 生 时 间 ， 单 位 为 秒 ； U I D ： 调 用 进 程 的 用 户 I D ； C O M M ： 调 用 进 程 名 称 ； P I D ： 调 用 进 程 P I D ； T I D ： 调 用 线 程 T I D ； R E T ： 函 数 返 回 的 值 ； E V E N T ： 事 件 识 别 符 ； A R G S ： 提 供 给 函 数 的 参 数 列 表 ； 工 具 演 示 视 频 工 具 演 示 视 频 视 频 地 址 ： h t t p s : / / y o u t u . b e / W T q E 2 a e 2 5 7 o 项 目 地 址 项 目 地 址 T r a c e e ： h t t p s : / / g i t h u b . c o m / a q u a s e c u r i t y / t r a c e e 精 彩 推 荐 精 彩 推 荐 阅 读 原 文 1 7 6 7 5 1 . 7 4 6 5 1 5     1 0 0 0       z s h                             1 4 7 2 6       1 4 7 2 6       0                               e x e c v e                               p a t h n a m e :   / u s r / b i n / l s ,   a r g v :   [ l s ] 1 7 6 7 5 1 . 7 4 6 7 7 2     1 0 0 0       z s h                             1 4 7 2 6       1 4 7 2 6       0                               s e c u r i t y _ b p r m _ c h e c k     p a t h n a m e :   / u s r / b i n / l s ,   d e v :   8 3 8 8 6 1 0 ,   i n o d e :   7 7 7 1 7 6 7 5 1 . 7 4 7 0 4 4     1 0 0 0       l s                               1 4 7 2 6       1 4 7 2 6     - 2                               a c c e s s                               p a t h n a m e :   / e t c / l d . s o . p r e l o a d ,   m o d e :   R _ O K 1 7 6 7 5 1 . 7 4 7 0 7 7     1 0 0 0       l s                               1 4 7 2 6       1 4 7 2 6       0                               s e c u r i t y _ f i l e _ o p e n       p a t h n a m e :   / e t c / l d . s o . c a c h e ,   f l a g s :   O _ R D O N L Y | O _ L A R G E F I L E ,   d e v :   8 3 8 8 6 1 0 ,   i n o d e :   5 3 3 7 3 7 . . .
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理