Início / unix / Perguntas / 673068
Accepted
ibse
Asked: 2021-10-14 06:04:25 +0800 CST

'não é possível anexar o kprobe, a entrada do probe pode não existir' ao executar trace-bpfcc

  • 772

Estou seguindo o tutorial bcc e tentando executar o trace-bpfcccomando:sudo trace-bpfcc 'sys_execve "%s", arg1'

O comando falha com um erro: cannot attach kprobe, probe entry may not exist Failed to attach BPF program b'probe_sys_execve_1' to kprobe b'sys_execve'

Ao pesquisar na web, descobri que esse erro pode ocorrer se o símbolo __x64_sys_execveestiver ausente em /proc/kallsyms, mas eu tenho um lá.

Não tenho nenhuma experiência em desenvolvimento de kernel, o que preciso fazer para corrigir esse problema?

Minha distro é o Ubuntu 20

linux-kernel trace

1 respostas

  1. Best Answer

    Você mesmo encontrou o símbolo correto: __x64_sys_execve, você deseja usar o mesmo ao executar o comando:

    $ sudo trace-bpfcc '__x64_sys_execve "%s", arg1'

    Não há nenhuma função chamada simplesmente __sys_execveem seu kernel e você tem que combinar o símbolo exato de BCC para encontrar a função relevante.

    • 2

relate perguntas