【eBPF 内核实现深度拆解】从验证器到 JIT，从 BTF 到调度器
eBPF 内核虚拟机内部实现系统讲解：BPF 指令集与寄存器机器、验证器的抽象解释与状态裁剪、JIT 编译器后端、Map 各类型的并发与内存模型、helper 函数注册与类型检查、BTF 格式规范与 CO-RE 重定位引擎、libbpf 加载器工程、fentry/fexit 蹦床机制、sched_ext 调度器内核接…
ebpf 分类归档
共 25 篇文章 · 返回首页
【eBPF 系列】eBPF 安全监控：不改内核也能审计 syscall
Seccomp 只能说 yes or no，但攻击者早就学会了在 yes 里面做文章。是时候让 eBPF 接管安全审计了。
【eBPF 内核实现深度拆解】验证器核心算法：抽象解释、状态跟踪与路径裁剪
基于 Linux 6.8 头文件与实测 verifier 日志，拆解 bpf_reg_state / bpf_func_state / bpf_verifier_state 的分层抽象域、DFS 分支计数与 is_state_visited 裁剪、precision 回溯——衔接 02 框架与 04 拒绝模式。
【eBPF 内核实现深度拆解】BPF 指令集解码：寄存器机器、调用约定与指令编码
从 eBPF 虚拟机的 11 个 64-bit 寄存器和 struct bpf_insn 出发，逐条拆解 ALU64/ALU32、跳转、加载存储、call 四类指令的字段语义与编码格式，建立后续 verifier 和 JIT 讨论的精确基础。
【eBPF 内核实现深度拆解】验证器框架：从 BPF_PROG_LOAD 到 do_check()
跟踪 BPF_PROG_LOAD 系统调用的内核执行路径，逐层拆解 bpf_prog_load()→bpf_check()→do_check_main() 的调用链，建立 verifier 执行全景——这是理解 verifier 安全保证的入口。
【eBPF 内核实现深度拆解】与验证器共舞：常见拒绝模式与编程约束
把 02-03 的理论落地为可操作的编程指南——unbounded memory access、variable-length read、pointer arithmetic on scalar、循环上界推断失败、helper 参数类型不匹配等 18 种常见 verifier 错误的根因分析、最小复现与正确写法。
【eBPF 内核实现深度拆解】JIT 编译器后端：x86-64 与 ARM64 的 BPF→Native 翻译管线
从 bpf_jit_compile() 入口出发，拆解 BPF 字节码到 x86-64/ARM64 本地指令的翻译过程——寄存器映射策略、ALU 指令的 one-to-one/many-to-one 翻译、尾调用与 call 的本地实现、JIT 镜像的 kallsyms 集成，以及 JIT 与 interpreter…
【eBPF 内核实现深度拆解】Map 内核实现（上）：hash / array / per-CPU 的数据结构与并发模型
从 bpf_map_ops 虚函数表出发，逐层拆解 BPF_MAP_TYPE_HASH、BPF_MAP_TYPE_ARRAY、per-CPU 变体的内核实现——htab 的 bucket 链表与 prealloc、bpf_array 的零拷贝共享、per-CPU 分配器的无锁语义。
【eBPF 内核实现深度拆解】Map 内核实现（下）：ringbuf / perfbuf / bloom / queue-stack / LPM
拆解性能关键的 ring buffer（mmap 双缓冲与 record 提交语义）、perf event array（perf_event_output 路径）、bloom filter（N_HASH 位图）、queue/stack（链式辅助结构）、LPM trie（前缀树），以及 devmap/cpumap 等重…
【eBPF 内核实现深度拆解】Helper 函数子系统：注册、类型检查与参数传递
从 bpf_func_proto 结构体出发，讲解 helper 函数的注册机制（BPF_CALL_n 宏链）、参数类型编码（ARG_PTR_TO_MAP_KEY 等枚举）、返回值策略，以及 verifier 在 check_helper_call() 中对每个参数的类型与边界检查。
【eBPF 内核实现深度拆解】程序生命周期：load、attach、detach、pin 与引用计数
完整跟踪一个 BPF 程序从加载到销毁的全生命周期——aux->refcnt 引用计数模型、BPF_PROG_LOAD 验证与 JIT 之后发生了什么、各种 attach 类型的差异、bpffs 持久化与 FD 泄露的坑。
【eBPF 内核实现深度拆解】libbpf 加载器工程：skeleton、auto-attach、map pinning 与 ring buffer 消费者
深入 libbpf 的加载生命周期：bpf_object__open() 的 ELF 解析、bpf_object__load() 的程序批量加载与 map 创建、map pinning 与跨进程复用、skeleton 自动生成器、SEC() 注解解析、auto-attach 的链路跟踪、ring_buffer__ne…
【eBPF 内核实现深度拆解】BTF 格式规范与内核类型系统
从 BTF 的二进制编码格式（btf_header + type entries + string table）出发，讲清 BTF 如何编码基本类型、结构体、联合体、函数原型与 typedef——BTF.ext 节的 func_info/line_info 记录，以及内核 pahole 的 BTF 生成与去重算法 b…
【eBPF 内核实现深度拆解】CO-RE 重定位引擎：libbpf 的运行时指令修补
从 clang 内置函数 __builtin_preserve_access_index 出发，追踪 BPF_CORE_READ 等宏如何生成 BTF.ext CO-RE 重定位记录，再到 libbpf 加载时 bpf_core_apply_relo() 根据目标内核 BTF 计算正确字段偏移量并修补 BPF 指令—…
【eBPF 内核实现深度拆解】BPF 编译工具链：clang 后端、目标文件布局与调试信息
从 clang -target bpf 的 LLVM BPF 后端出发，讲清 BPF 目标文件 .o 的 ELF section 布局约定、DWARF 到 BTF 的转换管线、bpftool gen 的工具链集成，以及 BPF 特有的 inline asm 语法。
【eBPF 内核实现深度拆解】BPF 程序调试与测试：verifier log、bpftool、test runner 与内核自测
从 verifier log 的级别控制（log_level 1/2/自选寄存器）出发，覆盖 bpftool prog dump xlated/jited 的反汇编、bpftool map dump 运行时检查、bpftool btf 类型查阅、BPF selftests 结构与编写，以及生产环境下的 BPF 排障方…
【eBPF 内核实现深度拆解】蹦床（Trampoline）与 fentry / fexit：零开销内核追踪
fentry/fexit 通过 BPF 蹦床机制在目标函数的 nop 位置直接替换为 call 指令进入 BPF，避免了 kprobe 的 int3 中断开销。本文拆解 bpf_trampoline 内核实现、arch_prepare_bpf_trampoline 的架构相关栈帧构造、struct_ops 与蹦床的协…
【eBPF 内核实现深度拆解】BPF 并发模型：spinlock、RCU 与 per-CPU 模式
BPF 程序在内核上下文中并发执行——同一程序可能在多个 CPU 同时运行。本文讲清 BPF 环境下的内存模型（BPF_ATOMIC 指令的语义）、bpf_spin_lock 的实现限制、RCU 保护的 map 读取、per-CPU map 的免锁读写，以及中断上下文与进程上下文的执行语义差异。
【eBPF 内核实现深度拆解】eBPF 安全模型：capabilities、非特权 BPF 与 Spectre 缓解
BPF 程序在内核态执行——安全不只是 verifier 的事。本文讲清 CAP_BPF 与 CAP_SYS_ADMIN 的权限梯度、unprivileged BPF 的历史沿革与现状、Spectre v2 的 bpf_jit_harden 缓解（常数盲化与 retpoline）、Spectre v4 的 specu…
【eBPF 内核实现深度拆解】sched_ext 深度：用 BPF 写内核调度器
从 struct sched_ext_ops 的 10+ 回调语义出发，拆解 select_cpu/enqueue/dispatch/tick 等核心回调、scx_bpf_dispatch/scx_bpf_kick_cpu 等 kfunc 的内核实现、ext 调度类与 CFS/EEVDF 的共存策略（SCX_OPS_…
【eBPF 内核实现深度拆解】非 Linux eBPF：Windows eBPF 平台、ubpf 与 rbpf 用户态运行时
eBPF 不只是 Linux 的技术——Windows eBPF (ebpf-for-windows) 如何把 BPF 字节码挂载到 Windows 内核的 NetBufferList 和 System Call、ubpf 的用户态 VM 实现（JIT 与解释器双模）、rbpf 的 Rust 生态、以及 IETF B…
【eBPF 内核实现深度拆解】实战：构建微型 eBPF 可观测 Agent
把 01--17 的知识串成一条实践线——从 libbpf skeleton 写第一个 BPF 程序、加载到内核、用 ring buffer 回传事件、用 CO-RE 实现跨内核版本兼容、map pinning 实现热升级、配上半自动化的 verifier 错误排障流程——构建一个麻雀虽小五脏俱全的 eBPF 可观测…
【eBPF 内核实现深度拆解】eBPF 生态与未来：内核演进路线、标准化与社区动态
回顾 eBPF 从 Linux 3.18 到 6.x 十年演进的关键节点，梳理 BPF 维护者的开发节奏与合并策略、eBPF Foundation 的标准化工作、kfunc 与 dynptr 的能力扩展方向、以及 eBPF 与内核模块、DPDK、Wasm 的技术竞争格局。
【eBPF 系列】eBPF 性能分析工具链：perf → BCC → bpftrace → Parca 的演化
你有火焰图，但它只能告诉你 CPU 在忙什么——CPU 不忙的时候呢？从 perf 到 Parca，Linux 性能分析工具链走过了 15 年，是时候搞清楚每个工具的真正定位了。
【eBPF 系列】XDP：在网卡驱动层就把包丢掉
当 DDoS 洪水来袭，iptables 在协议栈里挣扎，而 XDP 在网卡驱动层就把垃圾包丢了。不进协议栈、不分配 skb、不走 netfilter——这才是丢包该有的样子。