CN115794583A - 一种内核分析方法及装置 - Google Patents

Abstract

本申请提供一种内核分析方法及装置，该方法包括：预先构建执行程序；将目标事件与执行程序进行附加绑定，得到目标执行程序；将目标执行程序动态地加载到内核中；当目标事件发生时，触发目标执行程序，以获取目标事件的事件数据；根据事件数据对目标事件进行分析，得到分析结果。可见，实施这种实施方式，能够简单快速事件对内核事件的检测分析，不需要更改内核代码，实现难度小，开发者门槛低。

Description

一种内核分析方法及装置

技术领域

本申请涉及计算机技术领域，具体而言，涉及一种内核分析方法及装置。

背景技术

1.Linux内核是应用程序和运行的硬件之间的桥梁。应用程序不能直接访问硬件，它通过使用系统调用接口，向内核发出请求，内核来向硬件设备进行数据处理。如果想观察内核的行为，就必须向内核添加新的功能。现有技术中，通常通过改写Linux内核的方法实现内核事件的检测分析，然而，在实践中发现，现有改写Linux内核的方法很复杂，且内核代码量在3000万行以上，更改内核代码有一定的门槛，需要开发者具备大量的知识和经验，一旦内核代码运行时崩溃了，就会导致机器上面所有运行的程序全部瘫痪。可见，现有方法难度大，复杂性高，且具有很高的门槛。

发明内容

本申请实施例的目的在于提供一种内核分析方法及装置，能够简单快速事件对内核事件的检测分析，不需要更改内核代码，实现难度小，开发者门槛低。

本申请实施例第一方面提供了一种内核分析方法，包括：

预先构建执行程序；

将目标事件与所述执行程序进行附加绑定，得到目标执行程序；

将所述目标执行程序动态地加载到内核中；

当所述目标事件发生时，触发所述目标执行程序，以获取所述目标事件的事件数据；

根据所述事件数据对所述目标事件进行分析，得到分析结果。

在上述实现过程中，该方法可以优先预先构建执行程序；然后，将目标事件与所述执行程序进行附加绑定，得到目标执行程序；再将所述目标执行程序动态地加载到内核中；再后，当所述目标事件发生时，触发所述目标执行程序，以获取所述目标事件的事件数据；最后，在根据所述事件数据对所述目标事件进行分析，得到分析结果。可见，该方法能够简单快速事件对内核事件的检测分析，不需要更改内核代码，实现难度小，开发者门槛低。

进一步地，所述目标事件包括从函数中进入或退出事件、跟踪点、Perf事件、Linux安全模块接口、网络接口以及网络套接字中的其中一种。

进一步地，所述将所述目标执行程序动态地加载到内核中，包括：

通过预先配置的Opensnoop程序将所述目标执行程序附加到内核的系统调用程序上。

进一步地，所述触发所述目标执行程序，以获取所述目标事件的事件数据，包括：

当通过所述系统调用程序触发所述目标执行程序时，获取系统调用参数；其中，所述系统调用参数至少包括打开的文件标识以及程序标识；

按照预设的结构体和所述系统调用参数生成事件数据。

进一步地，所述根据所述事件数据对所述目标事件进行分析，得到分析结果，包括：

当退出所述系统调用程序时，触发另一个执行程序；

通过所述另一个执行程序将所述事件数据传输至用户态程序中；

通过所述用户态程序读取所述系统调用程序，以获取所述事件数据；

对所述事件数据进行分析，得到分析结果。

本申请实施例第二方面提供了一种内核分析装置，所述内核分析装置包括：

构建单元，用于预先构建执行程序；

附加绑定单元，用于将目标事件与所述执行程序进行附加绑定，得到目标执行程序；

加载单元，用于将所述目标执行程序动态地加载到内核中；

触发单元，用于当所述目标事件发生时，触发所述目标执行程序，以获取所述目标事件的事件数据；

分析单元，用于根据所述事件数据对所述目标事件进行分析，得到分析结果。

在上述实现过程中，该装置可以通过构建单元预先构建执行程序；再通过附加绑定单元将目标事件与执行程序进行附加绑定，得到目标执行程序；再通过加载单元将目标执行程序动态地加载到内核中；再通过触发单元在当目标事件发生时，触发目标执行程序，以获取目标事件的事件数据；最后，再通过分析单元来根据事件数据对目标事件进行分析，得到分析结果。可见，该装置能够简单快速事件对内核事件的检测分析，不需要更改内核代码，实现难度小，开发者门槛低。

进一步地，所述目标事件包括从函数中进入或退出事件、跟踪点、Perf事件、Linux安全模块接口、网络接口以及网络套接字中的其中一种。

进一步地，所述加载单元，具体用于通过预先配置的Opensnoop程序将所述目标执行程序附加到内核的系统调用程序上。

进一步地，所述触发单元包括：

获取子单元，用于当通过所述系统调用程序触发所述目标执行程序时，获取系统调用参数；其中，所述系统调用参数至少包括打开的文件标识以及程序标识；

生成子单元，用于按照预设的结构体和所述系统调用参数生成事件数据。

进一步地，所述分析单元包括：

触发子单元，用于当退出所述系统调用程序时，触发另一个执行程序；

传输子单元，用于通过所述另一个执行程序将所述事件数据传输至用户态程序中；

读取子单元，用于通通过所述用户态程序读取所述系统调用程序，以获取所述事件数据；

分析子单元，用于通对所述事件数据进行分析，得到分析结果。

本申请实施例第三方面提供了一种电子设备，包括存储器以及处理器，所述存储器用于存储计算机程序，所述处理器运行所述计算机程序以使所述电子设备执行本申请实施例第一方面中任一项所述的内核分析方法。

本申请实施例第四方面提供了一种计算机可读存储介质，其存储有计算机程序指令，所述计算机程序指令被一处理器读取并运行时，执行本申请实施例第一方面中任一项所述的内核分析方法。

附图说明

为了更清楚地说明本申请实施例的技术方案，下面将对本申请实施例中所需要使用的附图作简单地介绍，应当理解，以下附图仅示出了本申请的某些实施例，因此不应被看作是对范围的限定，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他相关的附图。

图1为本申请实施例提供的一种内核分析方法的流程示意图；

图2为本申请实施例提供的另一种内核分析方法的流程示意图；

图3为本申请实施例提供的一种内核分析装置的结构示意图；

图4为本申请实施例提供的另一种内核分析装置的结构示意图；

图5为本申请实施例提供的一种eBPF程序的运行框架图；

图6为本申请实施例提供的一种Opensnoop eBPF代码应用示意图。

具体实施方式

下面将结合本申请实施例中的附图，对本申请实施例中的技术方案进行描述。

应注意到：相似的标号和字母在下面的附图中表示类似项，因此，一旦某一项在一个附图中被定义，则在随后的附图中不需要对其进行进一步定义和解释。同时，在本申请的描述中，术语“第一”、“第二”等仅用于区分描述，而不能理解为指示或暗示相对重要性。

实施例1

请参看图1，图1为本实施例提供了一种内核分析方法的流程示意图。其中，该内核分析方法包括：

S101、预先构建执行程序。

本实施例中，执行程序为eBPF程序。具体的，eBPF是一套通用执行引擎，提供了可基于系统或程序事件高效安全执行特定代码的通用能力，通用能力的使用者不再局限于内核开发者；eBPF可由执行字节码指令、存储对象和Helper辅助函数组成，字节码指令在内核执行前必须通过BPF验证器Verfier的验证，同时在启用BPF JIT模式的内核中，会直接将字节码指令转成内核可执行的本地指令运行。

S102、将目标事件与执行程序进行附加绑定，得到目标执行程序。

本实施例中，目标事件包括从函数中进入或退出事件、跟踪点、Perf事件、Linux安全模块接口、网络接口以及网络套接字中的其中一种。

S103、将目标执行程序动态地加载到内核中。

S104、当目标事件发生时，触发目标执行程序，以获取目标事件的事件数据。

S105、根据事件数据对目标事件进行分析，得到分析结果。

本实施例中，该方法的执行主体可以为计算机、服务器等计算装置，对此本实施例中不作任何限定。

在本实施例中，该方法的执行主体还可以为智能手机、平板电脑等智能设备，对此本实施例中不作任何限定。

可见，实施本实施例所描述的内核分析方法，能够简单快速事件对内核事件的检测分析，不需要更改内核代码，实现难度小，开发者门槛低。

实施例2

请参看图2，图2为本实施例提供了一种内核分析方法的流程示意图。其中，该内核分析方法包括：

S201、预先构建执行程序。

本实施例中，执行程序为eBPF程序。具体的，eBPF是一套通用执行引擎，提供了可基于系统或程序事件高效安全执行特定代码的通用能力，通用能力的使用者不再局限于内核开发者；eBPF可由执行字节码指令、存储对象和Helper辅助函数组成，字节码指令在内核执行前必须通过BPF验证器Verfier的验证，同时在启用BPF JIT模式的内核中，会直接将字节码指令转成内核可执行的本地指令运行。

S202、将目标事件与执行程序进行附加绑定，得到目标执行程序。

目标事件包括从函数中进入或退出事件、跟踪点、Perf事件、Linux安全模块接口、网络接口以及网络套接字中的其中一种。

S203、通过预先配置的Opensnoop程序将目标执行程序附加到内核的系统调用程序上。

S204、当目标事件发生，并通过系统调用程序触发目标执行程序时，获取系统调用参数。

本实施例中，系统调用参数至少包括打开的文件标识以及程序标识。

S205、按照预设的结构体和系统调用参数生成事件数据。

S206、当退出系统调用程序时，触发另一个执行程序。

S207、通过另一个执行程序将事件数据传输至用户态程序中。

S208、通过用户态程序读取系统调用程序，以获取事件数据。

S209、对事件数据进行分析，得到分析结果。

本实施例中，eBPF程序通常使用C或Rust编写，并编入一个对象文件。这是一个标准的ELF(Executable and Linkable Format，可执行和可链接格式)文件，可以用工具检查，它包含程序字节码和任何映射的定义。具体的可以参照图5所示。

本实施例中，eBPF程序加载到内核中时必须被附加到时间上，每当事件发生，相关的eBPF程序就会运行。其中，eBPF程序可以被使用附加的事件通常有：

(1)从函数中进入或退出：可以附加一个eBPF程序，在内核函数进入或退出时被触发。

(2)Tracerpoints：可以附加内核内定义的tracepoints。通过在/sys/kernel/debug/tracing/events下查找机器上的事件。

(3)Perf事件：可以将eBPF程序附加到所有收集perf数据的地方，实现性能数据收据的自定义。

(4)Linux安全模块接口：可以将eBPF程序附加到安全策略的检查上，实现灵活，动态的安全策略和一些运行时安全工具检查的新方法。

(5)网络接口：可以讲eBPF程序附加到网络接口上。每当收到一个数据包就会触发eBPF程序。可以检查并且修改数据包，程序的退出代码可以告诉内核如何处理该数据包，传送，放弃或者重定向。

(6)套接字：可以讲eBPF程序附加到网络套接字上。当套接字打开或者连接等操作时，以及消息被发送或接收时，eBPF程序就会自动运行。

在本实施例中，关于Opensnoop eBPF代码应用：

Opensnoop程序实现了一个可以显示任何进程所打开的文件的工具。它的工作方式就是将eBPF程序附加到open()和openat()系统调用上。

其中，从图6中可以看到有两张map,分别是start和events。start map被用来临时存储系统调用的参数，包括被打开的文件的名称，程序的ID等。Events map用于将事件信息从内核中的eBPF代码传递给用户空间的可执行程序。它们的定义分别如下：

struct{

__uint(type，BPF_MAP_TYPE_HASH)；

__uint(max_entries，10240)；

__uint(key，u32)；

__uint(value，struct args_t)；

}start SEC(".maps”)；

struct{

__uint(type，BPF_MAP_TYPE_PERF_EVENT_ARRAY)；

__uint(key_size，sizeof(u32))；

__uint(value_size，sizeof(u32))；

}events SEC(".maps”)；

当eBPF程序进入system call时，就会按照上面的结构体把输入信息输入到startmap中，这是我eBPF就会拿到相应的信息，比如打开的文件名称以及进程PID等。当systemcall退出的时候，另一个eBPF程序又会被触发，这是我events就会把相应的数据带回到用户态程序中。

bpf_perf_event_output(ctx，&events，BPF_F_CURRENT_CPU，&event，sizeof(event))；

用户态程序通过读取这个events buffer map获取事件信息。

本实施例中，用户态程序在启动和运行后，就会一直监听绑定events，并将每个事件中包含的信息提取出来。

pb＝perf_buffer__new(bpf_map__fd(obj->maps.events)，

PERF_BUFFER_PAGES，handel_event，handle_lost_events，

NULL，NULL)

Handle_event是用来处理新事件的函数。然后对缓冲区进行轮询，直到达到一个时间限制，或者用户中断程序：

while(！exiting){

err＝perf_buffer__poll(pb，PERF_POLL_TIMEOUT_MS)；

…}

传递给handle_event函数的参数就是eBPF程序为该事件写进event map的结构体。

至此，一个完整的eBPF程序和用户态的程序通信就像上面介绍的一样完成交互。

本实施例中，该方法的执行主体可以为计算机、服务器等计算装置，对此本实施例中不作任何限定。

在本实施例中，该方法的执行主体还可以为智能手机、平板电脑等智能设备，对此本实施例中不作任何限定。

可见，实施本实施例所描述的内核分析方法，能够简单快速事件对内核事件的检测分析，不需要更改内核代码，实现难度小，开发者门槛低。

实施例3

请参看图3，图3为本实施例提供的一种内核分析装置的结构示意图。如图3所示，该内核分析装置包括：

构建单元310，用于预先构建执行程序；

附加绑定单元320，用于将目标事件与执行程序进行附加绑定，得到目标执行程序；

加载单元330，用于将目标执行程序动态地加载到内核中；

触发单元340，用于当目标事件发生时，触发目标执行程序，以获取目标事件的事件数据；

分析单元350，用于根据事件数据对目标事件进行分析，得到分析结果。

本实施例中，对于内核分析装置的解释说明可以参照实施例1或实施例2中的描述，对此本实施例中不再多加赘述。

可见，实施本实施例所描述的内核分析装置，能够简单快速事件对内核事件的检测分析，不需要更改内核代码，实现难度小，开发者门槛低。

实施例4

请参看图4，图4为本实施例提供的一种内核分析装置的结构示意图。如图4所示，该内核分析装置包括：

构建单元310，用于预先构建执行程序；

附加绑定单元320，用于将目标事件与执行程序进行附加绑定，得到目标执行程序；

加载单元330，用于将目标执行程序动态地加载到内核中；

触发单元340，用于当目标事件发生时，触发目标执行程序，以获取目标事件的事件数据；

分析单元350，用于根据事件数据对目标事件进行分析，得到分析结果。

本实施例中，目标事件包括从函数中进入或退出事件、跟踪点、Perf事件、Linux安全模块接口、网络接口以及网络套接字中的其中一种。

作为一种可选的实施方式，加载单元330，具体用于通过预先配置的Opensnoop程序将目标执行程序附加到内核的系统调用程序上。

作为一种可选的实施方式，触发单元340包括：

获取子单元341，用于当通过系统调用程序触发目标执行程序时，获取系统调用参数；其中，系统调用参数至少包括打开的文件标识以及程序标识；

生成子单元342，用于按照预设的结构体和系统调用参数生成事件数据。

作为一种可选的实施方式，分析单元350包括：

触发子单元351，用于当退出系统调用程序时，触发另一个执行程序；

传输子单元352，用于通过另一个执行程序将事件数据传输至用户态程序中；

读取子单元353，用于通通过用户态程序读取系统调用程序，以获取事件数据；

分析子单元354，用于通对事件数据进行分析，得到分析结果。

本实施例中，对于内核分析装置的解释说明可以参照实施例1或实施例2中的描述，对此本实施例中不再多加赘述。

可见，实施本实施例所描述的内核分析装置，能够简单快速事件对内核事件的检测分析，不需要更改内核代码，实现难度小，开发者门槛低。

本申请实施例提供了一种电子设备，包括存储器以及处理器，所述存储器用于存储计算机程序，所述处理器运行所述计算机程序以使所述电子设备执行本申请实施例1或实施例2中的内核分析方法。

本申请实施例提供了一种计算机可读存储介质，其存储有计算机程序指令，所述计算机程序指令被一处理器读取并运行时，执行本申请实施例1或实施例2中的内核分析方法。

在本申请所提供的几个实施例中，应该理解到，所揭露的装置和方法，也可以通过其它的方式实现。以上所描述的装置实施例仅仅是示意性的，例如，附图中的流程图和框图显示了根据本申请的多个实施例的装置、方法和计算机程序产品的可能实现的体系架构、功能和操作。在这点上，流程图或框图中的每个方框可以代表一个模块、程序段或代码的一部分，所述模块、程序段或代码的一部分包含一个或多个用于实现规定的逻辑功能的可执行指令。也应当注意，在有些作为替换的实现方式中，方框中所标注的功能也可以以不同于附图中所标注的顺序发生。例如，两个连续的方框实际上可以基本并行地执行，它们有时也可以按相反的顺序执行，这依所涉及的功能而定。也要注意的是，框图和/或流程图中的每个方框、以及框图和/或流程图中的方框的组合，可以用执行规定的功能或动作的专用的基于硬件的系统来实现，或者可以用专用硬件与计算机指令的组合来实现。

另外，在本申请各个实施例中的各功能模块可以集成在一起形成一个独立的部分，也可以是各个模块单独存在，也可以两个或两个以上模块集成形成一个独立的部分。

所述功能如果以软件功能模块的形式实现并作为独立的产品销售或使用时，可以存储在一个计算机可读存储介质中。基于这样的理解，本申请的技术方案本质上或者说对现有技术做出贡献的部分或者该技术方案的部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行本申请各个实施例所述方法的全部或部分步骤。而前述的存储介质包括：U盘、移动硬盘、只读存储器(ROM，Read-Only Memory)、随机存取存储器(RAM，Random Access Memory)、磁碟或者光盘等各种可以存储程序代码的介质。

以上所述仅为本申请的实施例而已，并不用于限制本申请的保护范围，对于本领域的技术人员来说，本申请可以有各种更改和变化。凡在本申请的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本申请的保护范围之内。应注意到：相似的标号和字母在下面的附图中表示类似项，因此，一旦某一项在一个附图中被定义，则在随后的附图中不需要对其进行进一步定义和解释。

以上所述，仅为本申请的具体实施方式，但本申请的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本申请揭露的技术范围内，可轻易想到变化或替换，都应涵盖在本申请的保护范围之内。因此，本申请的保护范围应所述以权利要求的保护范围为准。

需要说明的是，在本文中，诸如第一和第二等之类的关系术语仅仅用来将一个实体或者操作与另一个实体或操作区分开来，而不一定要求或者暗示这些实体或操作之间存在任何这种实际的关系或者顺序。而且，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括所述要素的过程、方法、物品或者设备中还存在另外的相同要素。

Claims (10)

1.一种内核分析方法，其特征在于，包括：

预先构建执行程序；

将目标事件与所述执行程序进行附加绑定，得到目标执行程序；

将所述目标执行程序动态地加载到内核中；

当所述目标事件发生时，触发所述目标执行程序，以获取所述目标事件的事件数据；

根据所述事件数据对所述目标事件进行分析，得到分析结果。

2.根据权利要求1所述的内核分析方法，其特征在于，所述目标事件包括从函数中进入或退出事件、跟踪点、Perf事件、Linux安全模块接口、网络接口以及网络套接字中的其中一种。

3.根据权利要求1所述的内核分析方法，其特征在于，所述将所述目标执行程序动态地加载到内核中，包括：

通过预先配置的Opensnoop程序将所述目标执行程序附加到内核的系统调用程序上。

4.根据权利要求3所述的内核分析方法，其特征在于，所述触发所述目标执行程序，以获取所述目标事件的事件数据，包括：

当通过所述系统调用程序触发所述目标执行程序时，获取系统调用参数；其中，所述系统调用参数至少包括打开的文件标识以及程序标识；

按照预设的结构体和所述系统调用参数生成事件数据。

5.根据权利要求4所述的内核分析方法，其特征在于，所述根据所述事件数据对所述目标事件进行分析，得到分析结果，包括：

当退出所述系统调用程序时，触发另一个执行程序；

通过所述另一个执行程序将所述事件数据传输至用户态程序中；

通过所述用户态程序读取所述系统调用程序，以获取所述事件数据；

对所述事件数据进行分析，得到分析结果。

6.一种内核分析装置，其特征在于，所述内核分析装置包括：

构建单元，用于预先构建执行程序；

附加绑定单元，用于将目标事件与所述执行程序进行附加绑定，得到目标执行程序；

加载单元，用于将所述目标执行程序动态地加载到内核中；

触发单元，用于当所述目标事件发生时，触发所述目标执行程序，以获取所述目标事件的事件数据；

分析单元，用于根据所述事件数据对所述目标事件进行分析，得到分析结果。

7.根据权利要求6所述的内核分析装置，其特征在于，所述加载单元，具体用于通过预先配置的Opensnoop程序将所述目标执行程序附加到内核的系统调用程序上。

8.根据权利要求7所述的内核分析装置，其特征在于，所述触发单元包括：

获取子单元，用于当通过所述系统调用程序触发所述目标执行程序时，获取系统调用参数；其中，所述系统调用参数至少包括打开的文件标识以及程序标识；

生成子单元，用于按照预设的结构体和所述系统调用参数生成事件数据。

9.一种电子设备，其特征在于，所述电子设备包括存储器以及处理器，所述存储器用于存储计算机程序，所述处理器运行所述计算机程序以使所述电子设备执行权利要求1至5中任一项所述的内核分析方法。

10.一种可读存储介质，其特征在于，所述可读存储介质中存储有计算机程序指令，所述计算机程序指令被一处理器读取并运行时，执行权利要求1至5任一项所述的内核分析方法。

Images