内核和用户空间中的TID,GID, PID,uid

要获取关于eBPF中的进程信息,可以使用以下函数: bpf_get_current_pid_tgid()、
bpf_get_current_uid_gid()、
bpf_get_current_comm(char *buf, int size_of_buf)。
当程序被绑定到对某个内核函数调用时,就可以使用它们。UID/GID应该比较明确,但对于那些以前没有接触过内核操作细节的人来说,还是需要解释一下。
在内核中被视为PID的东西在用户空间中显示为进程的thread ID内核认为用户空间中的thread group ID是PID。类似的,bpf_get_current_comm()返回的不是通常的进程名(可以通过ps命令查看),而是线程名。

bpf_get_current_pid_tgid

语法:u64 bpf_get_current_pid_tgid(void)
低32位为当前进程ID,高32位是组ID。
使用 bpf_get_current_pid_tgid() >> 32 进行得到用户空间的pid

bpf_get_current_pid_tgid 的返回值为: current->tgid << 32 | current->pid,
高 32 位置为 tgid ,低 32 位为 pid(tid)

tgid也叫做线程组id,也就是真正意义上的进程id。
当前进程id,也就是当前线程id(内核意义上的)。
即在内核中被视为PID的东西在用户空间中显示为进程的thread ID。内核认为用户空间中的thread group ID是PID

概念可以参考Linux的pid和tgid的区别 - AlexNoBug的文章 - 知乎
https://zhuanlan.zhihu.com/p/142836568
内核和用户空间中的TID,GID, PID,uid_第1张图片

bpf_get_current_uid_gid

语法:u64 bpf_get_current_uid_gid(void)

返回用户ID和组ID.
高32位为GID,低32位为UID

bpf_get_current_common
语法:bpf_get_current_comm(char *buf, int size_of_buf)

用当前进程名字填充第一个参数地址。

你可能感兴趣的:(linux,kenel,linux,运维,服务器)