C++ `eBPF` (Extended Berkeley Packet Filter)：在内核中安全运行 C++ 代码

哈喽，各位好！

今天咱们聊聊一个听起来就挺酷炫的东西：C++ eBPF，也就是在内核里安全地跑 C++ 代码。别害怕，听起来吓人，其实没那么难。咱们一步一步来，保证你听完能大概知道这是个啥，甚至能撸起袖子写几行代码。

1. 啥是 eBPF？先混个脸熟

首先，eBPF 全称 Extended Berkeley Packet Filter。听名字就知道，它起源于网络包过滤。但现在，它已经远远超出了网络包过滤的范畴，变成了 Linux 内核中一个通用的、高度灵活的虚拟机。

你可以把 eBPF 想象成一个在内核里运行的小程序。这个小程序可以做很多事情，比如：

• 监控系统性能： 追踪函数调用、测量延迟、统计资源使用情况。
• 网络分析： 过滤、修改、重定向网络数据包。
• 安全： 实现入侵检测系统、审计系统调用。
• 可观测性： 收集各种指标，帮助你了解系统运行状态。

为啥 eBPF 这么火？因为它有几个很重要的优点：

• 安全： eBPF 程序运行在内核中，但它受到严格的验证器的检查，确保不会崩溃内核。
• 高性能： eBPF 程序可以直接访问内核数据，避免了用户态和内核态之间的频繁切换。
• 灵活： 你可以用各种语言编写 eBPF 程序，比如 C、C++、Rust。
• 可编程性： 动态加载和卸载 eBPF 程序，无需重新编译内核。

2. 为啥要在内核里跑 C++？脑洞大开

你可能会问：C 语言不是内核的标准语言吗？为啥还要用 C++？ 好问题！

C++ 提供了很多 C 语言没有的特性，比如：

• 面向对象编程： 封装、继承、多态，这些特性可以让你更好地组织代码，提高代码的可重用性和可维护性。
• 模板： 泛型编程，可以让你编写更加通用的代码。
• STL： 强大的标准模板库，提供了各种数据结构和算法。

想象一下，如果能用 C++ 来编写 eBPF 程序，就可以利用这些特性来简化开发，提高效率。特别是对于复杂的系统监控和网络分析任务，C++ 的优势就更加明显了。

3. C++ eBPF：如何让梦想照进现实

虽然 eBPF 最初是为 C 语言设计的，但现在已经有很多工具和库可以让你用 C++ 来编写 eBPF 程序。其中最流行的就是 bpftool 和 libbpf。

• bpftool: 这是一个命令行工具，可以用来加载、卸载、调试 eBPF 程序。
• libbpf: 这是一个 C 库，提供了访问 eBPF 功能的 API。

为了让 C++ 代码能在内核中运行，我们需要一些技巧，主要包括：

• 编译： 使用 clang 编译器，将 C++ 代码编译成 eBPF 字节码。
• 加载： 使用 bpftool 或 libbpf 将 eBPF 字节码加载到内核。
• 验证： 内核中的 eBPF 验证器会检查你的代码是否安全。
• 执行： 内核会在特定的事件发生时执行你的 eBPF 程序。

4. 代码说话：来个简单的例子

光说不练假把式。咱们来写一个简单的 C++ eBPF 程序，这个程序会在每次系统调用 open 的时候打印一条消息。

// my_ebpf_program.cpp
#include <iostream>
#include <linux/sched.h>
#include <linux/kconfig.h>
#include <linux/version.h>

#include <linux/bpf.h>
#include <bpf/bpf_helpers.h>
#include <bpf/bpf_tracing.h>

// 定义 license
char LICENSE[] SEC("license") = "GPL";

// 定义一个 probe，附加到 sys_enter_open 系统调用的入口
SEC("tracepoint/syscalls/sys_enter_open")
int handle_open(void *ctx) {
  // 打印一条消息到内核日志
  bpf_printk("Hello from C++ eBPF!");
  return 0;
}

这段代码做了啥？

• 引入头文件： 包含了 eBPF 编程需要的头文件。
• 定义 license： eBPF 程序必须声明 license。
• 定义一个 probe： SEC("tracepoint/syscalls/sys_enter_open") 定义了一个 probe，它会被附加到 sys_enter_open 系统调用的入口。
• 编写处理函数： handle_open 函数会在每次 sys_enter_open 被调用时执行。它会打印一条消息到内核日志。
• bpf_printk: 这个函数是 eBPF 提供的一个特殊的打印函数，可以将消息打印到内核日志。

接下来，我们需要编译这段代码：

clang -target bpf -D__TARGET_ARCH_x86 -O2 -Wall -Werror -c my_ebpf_program.cpp -o my_ebpf_program.o

这条命令会使用 clang 编译器将 my_ebpf_program.cpp 编译成 eBPF 字节码文件 my_ebpf_program.o。

• -target bpf：指定编译目标为 eBPF。
• -D__TARGET_ARCH_x86：指定目标架构为 x86。
• -O2：指定优化级别为 2。
• -Wall -Werror：启用所有警告，并将警告视为错误。
• -c：只编译不链接。
• -o：指定输出文件名。

最后，我们可以使用 bpftool 将 eBPF 程序加载到内核：

sudo bpftool prog load my_ebpf_program.o /sys/fs/bpf/my_ebpf_program
sudo bpftool prog attach tracepoint syscalls sys_enter_open /sys/fs/bpf/my_ebpf_program

这两条命令做了啥？

• 加载程序： bpftool prog load my_ebpf_program.o /sys/fs/bpf/my_ebpf_program 将 my_ebpf_program.o 加载到 /sys/fs/bpf/my_ebpf_program 路径下。
• 附加程序： bpftool prog attach tracepoint syscalls sys_enter_open /sys/fs/bpf/my_ebpf_program 将加载的程序附加到 sys_enter_open 系统调用的 tracepoint。

现在，每次你调用 open 系统调用，都会在内核日志中看到 "Hello from C++ eBPF!" 这条消息。你可以用 dmesg 命令查看内核日志。

dmesg | grep "Hello from C++ eBPF!"

你会看到类似这样的输出：

[ 1234.567890] Hello from C++ eBPF!

恭喜你！你已经成功地运行了一个 C++ eBPF 程序。

5. 进阶：更多 C++ 特性，更多可能性

上面的例子只是一个简单的入门。C++ eBPF 的真正威力在于你可以使用 C++ 的各种特性来编写更加复杂的程序。

• 类和对象： 你可以定义类来封装数据和行为，提高代码的可重用性和可维护性。
• 模板： 你可以使用模板来编写更加通用的代码。
• STL： 你可以使用 STL 提供的各种数据结构和算法。

当然，在内核中运行 C++ 代码也有限制。你需要注意以下几点：

• 内存分配： 内核中的内存分配是有限制的，你需要小心地管理内存。
• 异常处理： eBPF 程序不能抛出异常。
• 标准库： 不是所有的 C++ 标准库都可以在 eBPF 中使用。你需要查阅文档，了解哪些是可以使用的。

6. libbpf：更强大的武器

虽然 bpftool 很方便，但它毕竟只是一个命令行工具。如果你想在自己的程序中控制 eBPF 程序，就需要使用 libbpf。

libbpf 是一个 C 库，提供了访问 eBPF 功能的 API。你可以使用 libbpf 来加载、卸载、调试 eBPF 程序，以及与 eBPF 程序进行通信。

下面是一个使用 libbpf 加载 eBPF 程序的例子：

#include <iostream>
#include <fstream>
#include <stdexcept>
#include <cstring>
#include <unistd.h>
#include <fcntl.h>

#include <bpf/libbpf.h>
#include <bpf/bpf.h>

using namespace std;

int main(int argc, char **argv) {
    if (argc != 2) {
        cerr << "Usage: " << argv[0] << " <ebpf_object_file>" << endl;
        return 1;
    }

    const char *obj_file = argv[1];
    bpf_object *obj = NULL;
    int err = 0;

    // 1. 打开 eBPF object 文件
    obj = bpf_object__open_file(obj_file, NULL);
    if (!obj) {
        cerr << "Failed to open BPF object file: " << obj_file << endl;
        return 1;
    }

    // 2. 加载 eBPF 程序
    err = bpf_object__load(obj);
    if (err) {
        cerr << "Failed to load BPF object: " << libbpf_strerror(err) << endl;
        bpf_object__close(obj);
        return 1;
    }

    // 3. 获取 probe 的 fd 并 attach 到 tracepoint
    bpf_program *prog = bpf_object__find_program_by_name(obj, "handle_open");
    if (!prog) {
        cerr << "Failed to find program: handle_open" << endl;
        bpf_object__close(obj);
        return 1;
    }

    int prog_fd = bpf_program__fd(prog);
    if (prog_fd < 0) {
        cerr << "Failed to get program fd" << endl;
        bpf_object__close(obj);
        return 1;
    }

    // 使用 bpf_link 创建链接。需要 libbpf >= 0.6.0
    bpf_link *link = bpf_program__attach(prog);
    if (!link) {
        cerr << "Failed to attach program" << endl;
        bpf_object__close(obj);
        return 1;
    }

    cout << "eBPF program loaded and attached successfully!" << endl;

    // 保持程序运行，直到收到信号
    pause();

    // 清理资源
    bpf_link__destroy(link);
    bpf_object__close(obj);

    return 0;
}

这个程序做了啥？

• 打开 eBPF object 文件： 使用 bpf_object__open_file 函数打开 eBPF object 文件。
• 加载 eBPF 程序： 使用 bpf_object__load 函数加载 eBPF 程序。
• 获取 probe 的 fd： 使用 bpf_program__fd 函数获取 probe 的文件描述符。
• 附加程序： 使用 bpf_link__create 函数创建一个链接，将 eBPF 程序附加到 tracepoint。
• 保持程序运行： 使用 pause 函数保持程序运行，直到收到信号。
• 清理资源： 使用 bpf_link__destroy 和 bpf_object__close 函数清理资源。

使用 libbpf 可以让你更加灵活地控制 eBPF 程序，你可以根据自己的需求来编写更加复杂的程序。

7. eBPF 的未来：无限可能

eBPF 正在迅速发展，它的应用场景也在不断扩展。未来，我们可以期待看到更多基于 eBPF 的创新应用，比如：

• 更加智能的监控系统： 可以根据用户的需求动态地调整监控策略。
• 更加安全的网络： 可以实时检测和防御网络攻击。
• 更加高效的虚拟机： 可以优化虚拟机的性能，提高资源利用率。
• 云原生安全: eBPF 是云原生安全的重要技术基础，比如 Cilium, Falco 等项目。

总之，eBPF 是一个非常有前途的技术，它正在改变我们对内核编程的认知。如果你对系统编程、网络编程、安全编程感兴趣，那么 eBPF 绝对值得你学习和研究。

8. 注意事项：内核编程，如履薄冰

最后，我要提醒大家，内核编程是一项非常危险的任务。一旦你的代码出现问题，可能会导致系统崩溃。因此，在编写 eBPF 程序时，一定要小心谨慎，充分测试，确保你的代码是安全可靠的。

• 充分测试： 在不同的环境下测试你的代码，确保它能够正常工作。
• 小心内存管理： 内核中的内存是有限的，你需要小心地管理内存，避免内存泄漏。
• 避免死循环： eBPF 程序不能进入死循环，否则会导致系统崩溃。
• 使用验证器： 内核中的 eBPF 验证器会检查你的代码是否安全。你要仔细阅读验证器的输出，并根据提示修改你的代码。

9. 总结：C++ eBPF，潜力无限

C++ eBPF 结合了 C++ 的强大特性和 eBPF 的高性能和灵活性。虽然它有一定的门槛，但只要你用心学习，就能掌握它，并用它来解决各种实际问题。

希望今天的讲座对你有所帮助。如果你有任何问题，欢迎随时提问。

表格：C++ eBPF 相关工具和库

工具/库	描述
bpftool	命令行工具，用于加载、卸载、调试 eBPF 程序。
libbpf	C 库，提供了访问 eBPF 功能的 API。
clang	编译器，用于将 C++ 代码编译成 eBPF 字节码。
BCC	Python 库，提供了高级的 eBPF 编程接口。
Cilium	基于 eBPF 的云原生网络和安全解决方案。
Falco	基于 eBPF 的运行时安全检测工具。
bpftime	Rust编写的，兼容多种eBPF环境的框架，用于构建eBPF程序。
eunomia-bpf	基于libbpf bootstrap的项目，使用现代C++开发eBPF程序更为简易。

下次见！