bpftrace 探针参数与返回值

kprobe 可用 argN 读取参数, kretprobe 用 retval 读取返回值; 用于没有追踪点的内核函数。

返回值直方图

bpftrace -e 'kretprobe:vfs_write { @ = hist(retval); }'
bpftrace -e 'kprobe:vfs_write { @bytes = hist(arg2); }'

argN 顺序与函数签名一致; 结构调整或内核版本变化时用前先核对源码签名。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌