香蕉割草机
香蕉割草机

《Learning eBPF》读书笔记

文章目录

  • 章节内容简介
  • 第1章 什么是ebpf，为什么它很重要？
  • 第2章 ebpf版hello world
  • 第3章 ebpf程序剖析
    • ebpf虚拟机
    • 一个xdp的hello word例子
      • c语言程序
      • 编译为ebpf字节码
      • 加载bpf程序到内核
      • 检查加载的程序
      • 运行时编译机器码
      • 附加到事件
      • 分离程序
      • 卸载程序
  • 第4章 bpf()系统调用
  • 第5章 CO-RE, BTF, and Libbpf
    • CO-RE概览
    • BTF例子
    • libbpf
      • 生成内核头文件
      • ebpf程序的节
      • CO-RE 内存访问
      • 编译CO-RE ebpf程序
      • 为何要生成CO-RE用户态代码
      • bpf skeletons
      • 用户态程序
  • 第6章 ebpf验证器
  • 第7章 ebpf程序和挂接类型
    • Kfuncs
    • 追踪程序
      • kprobe/ketprobe
      • fentry/fexit
      • tracepoint
      • btf-enabled tracepoint
      • 用户态挂接点
      • LSM
    • 网络程序
      • sockets
      • tc:traffic control
      • xdp
      • flow dissector
      • lightweight tunnels
      • cgroups
      • infrared controllers
      • bpf挂接类型
  • 第8章 ebpf网络编程
  • 第9章 ebpf安全
  • 第10章 ebpf编程
  • 第11章 ebpf的未来演变

由于英文不好，看得过程中还要查单词，注定是要略读了，而且不知道能不能坚持下来。

章节内容简介

相关章节，标黑的是准备看下的：
第1章:介绍
第2章:hello world例子以及ebpf程序和ebpf map概念的介绍
第3章:ebpf程序以及他们是如何运行在内核中的
第4章:探索用户态进程和ebpf程序之间的接口
第5章:介绍co-re，即一次编译，任何地方运行
第6章:ebpf验证器
第7章:介绍许多不同类型的ebpf程序和他们的挂载点
第8章:网络特性的ebpf程序介绍
第9章:ebpf安全特性应用
第10章:许多编程语言应用的概览，用户态进程和epbf程序交互使用的库和框架。
第11章:展望

第1章 什么是ebpf，为什么它很重要？

一些基础知识介绍，ebpf相比与内核模块的优势等

第2章 ebpf版hello world

一个bcc的hello world程序:

#!/usr/bin/python3
from bcc import BPF

program = r"""
int hello(void *ctx) {
    bpf_trace_printk("Hello World!");
    return 0;
}
"""

b = BPF(text=program)#一旦执行，则bpf程序立即被加载
syscall = b.get_syscall_fnname("execve")#屏蔽不同版本内核差异
b.attach_kprobe(event=syscall, fn_name="hello")#挂接

b.trace_print()#读取内容

bpf_trace_printk()输出内容查看:cat /sys/kernel/debug/tracing/trace_pipe，需要注意的是，所有ebpf的输出都会在这里显示，因此需要ebpf map来存储打印，数据结构等。

第3章 ebpf程序剖析

ebpf虚拟机

真正的epbf程序运行于ebpf虚拟机，用受限的c写的程序会先被编译成ebpf字节码，然后被解释成机器码code
ebpf虚拟机使用10个通用寄存器0-9，而寄存器10被用作栈帧指针，是只读的。这些寄存器是软件实现的，不是真实的。0存放返回值，1~5存放参数。
ebpf指令是用这样的结构体实现的:

struct bpf_insn {
 __u8 code; /* opcode */ 
 __u8 dst_reg:4; /* dest register */ 
 __u8 src_reg:4; /* source register */
 __s16 off; /* signed offset */ 
 __s32 imm; /* signed immediate constant */
};

一个xdp的hello word例子

c语言程序

这个例子是用c写的，如下:

#include 
#include 

int counter = 0;

SEC("xdp") //定义一个叫xdp的段，后面将会被编译进obj文件中。
int hello(struct xdp_md *ctx) {//函数名就是ebpf程序名
    bpf_printk("Hello World %d", counter);//像之前bcc一样，打印信息
    counter++;
    return XDP_PASS;//让内容正常处理这个包
}

char LICENSE[] SEC("license") = "Dual BSD/GPL";//验证器好像会来检查这个

编译为ebpf字节码

在开发工具章节中有提到:

LLVM是目前唯一提供BPF后端的编译器套件。gcc目前不支持BPF。
典型的工作流程是用C语言编写BPF程序，由LLVM编译成object / ELF文件，由用户空间BPF ELF加载程序解析，并通过BPF系统调用推入内核。内核验证BPF指令并将其jit，为程序返回一个新的文件描述符，然后可以将其附加到子系统(例如网络)。如果得到支持，子系统可以进一步将BPF程序卸载到硬件(例如网卡)，即xdp。

编译上面代码的makefile如下：

hello.bpf.o: %.o: %.c
 	clang \
 	-target bpf \
 	-I/usr/include/$(shell uname -m)-linux-gnu \
 	-g \
 	-O2 -c $< -o $@

实际执行如下：

clang \
    -target bpf \
        -I/usr/include/aarch64-linux-gnu \
        -g \
    -O2 -o hello.bpf.o -c hello.bpf.c

编译生成的obj文件:

#file hello.bpf.o
hello.bpf.o: ELF 64-bit LSB relocatable, eBPF, version 1 (SYSV), with debug_info, not stripped

真正的c程序编出来是这样的:

# file a.out
a.out: ELF 64-bit LSB pie executable, ARM aarch64, version 1 (SYSV), dynamically linked, interpreter /lib/ld-linux-aarch64.so.1, BuildID[sha1]=c9e265eba9305dc511e73fbdabebaabd5e1242cd, for GNU/Linux 3.7.0, not stripped

使用readelf -a查看hello.bpf.o：

ELF Header:
  Magic:   7f 45 4c 46 02 01 01 00 00 00 00 00 00 00 00 00
  Class:                             ELF64
  Data:                              2's complement, little endian
  Version:                           1 (current)
  OS/ABI:                            UNIX - System V
  ABI Version:                       0
  Type:                              REL (Relocatable file)
  Machine:                           Linux BPF
  Version:                           0x1
  Entry point address:               0x0
  Start of program headers:          0 (bytes into file)
  Start of section headers:          3968 (bytes into file)
  Flags:                             0x0
  Size of this header:               64 (bytes)
  Size of program headers:           0 (bytes)
  Number of program headers:         0
  Size of section headers:           64 (bytes)
  Number of section headers:         27
  Section header string table index: 1

Section Headers:
  [Nr] Name              Type             Address           Offset
       Size              EntSize          Flags  Link  Info  Align
  [ 0]                   NULL             0000000000000000  00000000
       0000000000000000  0000000000000000           0     0     0
  [ 1] .strtab           STRTAB           0000000000000000  00000e73
       0000000000000109  0000000000000000           0     0     1
  [ 2] .text             PROGBITS         0000000000000000  00000040
       0000000000000000  0000000000000000  AX       0     0     4
  [ 3] xdp               PROGBITS         0000000000000000  00000040
       0000000000000060  0000000000000000  AX       0     0     8

可以看到有一个xdp的节。
看下对应汇编，直接使用objdump不认识:

# objdump -S hello.bpf.o

hello.bpf.o:     file format elf64-little

objdump: can't disassemble for architecture UNKNOWN!

使用llvm-objdump：

# llvm-objdump -S hello.bpf.o

hello.bpf.o:    file format elf64-bpf

Disassembly of section xdp:#xdp节的汇编，对应了c源码中用SEC()定义的

0000000000000000 <hello>:#这个节包含了hello这个函数
;     bpf_printk("Hello World %d", counter);
       0:       18 06 00 00 00 00 00 00 00 00 00 00 00 00 00 00 r6 = 0 ll
       2:       61 63 00 00 00 00 00 00 r3 = *(u32 *)(r6 + 0)
       3:       18 01 00 00 00 00 00 00 00 00 00 00 00 00 00 00 r1 = 0 ll
       5:       b7 02 00 00 0f 00 00 00 r2 = 15
       6:       85 00 00 00 06 00 00 00 call 6
;     counter++;
       7:       61 61 00 00 00 00 00 00 r1 = *(u32 *)(r6 + 0)
       8:       07 01 00 00 01 00 00 00 r1 += 1
       9:       63 16 00 00 00 00 00 00 *(u32 *)(r6 + 0) = r1
;     return XDP_PASS;
      10:       b7 00 00 00 02 00 00 00 r0 = 2
      11:       95 00 00 00 00 00 00 00 exit

上面的就是ebpf虚拟机的字节码

加载bpf程序到内核

在这一小节中，完成这个任务的是使用bpftool，使用如下命令：

bpftool prog load hello.bpf.o /sys/fs/bpf/hello

命令执行后没有输出，不过可以通过ls来确认:

# ls /sys/fs/bpf/
hello

这样，ebpf程序已经被成功加载了。

检查加载的程序

使用如下命令：

# bpftool prog list
85: cgroup_device  tag 134b8a301991f6b7  gpl
        loaded_at 2024-01-06T05:15:20+0000  uid 0
        xlated 504B  jited 464B  memlock 4096B
        pids systemd(1)
...
123: xdp  name hello  tag d35b94b4c0c10efb  gpl
        loaded_at 2024-01-06T15:46:54+0000  uid 0
        xlated 96B  jited 140B  memlock 4096B  map_ids 19,20
        btf_id 126

可以看到刚刚的程序已经被加载了。
这个ebpf进程被分配的id是123，使用这个id，可以用bpftool查询更多信息。
其中jited表示程序已被jit-编译。
而map_ids表示程序使用了19和20这两个ebpf map。分别是ebpf的bss段和rodata段:

# bpftool map list
19: array  name hello.bss  flags 0x400
        key 4B  value 4B  max_entries 1  memlock 4096B
        btf_id 126
20: array  name hello.rodata  flags 0x80
        key 4B  value 15B  max_entries 1  memlock 4096B
        btf_id 126  frozen
...
# bpftool map dump name hello.bss
[{
        "value": {
            ".bss": [{
                    "counter": 14750
                }
            ]
        }
    }
]
root@lima-learning-ebpf:/Users/xuweidong/project/learning-ebpf/chapter3# bpftool map dump name hello.rodata
[{
        "value": {
            ".rodata": [{
                    "hello.____fmt": "Hello World %d"
                }
            ]
        }
    }
]

其中bss段也就是存放了全局变量counter，rodata段是我们的字符串。需要注意的是只有编译时加了-g以及支持BTF，才能打印出这个效果。
tag是程序指令的sha校验和，当程序加载卸载，id可能会变，但tag不会变。
可以直接使用bpftool查看被转换的ebpf字节码:

#  bpftool prog dump xlated name hello
int hello(struct xdp_md * ctx):
; bpf_printk("Hello World %d", counter);
   0: (18) r6 = map[id:19][0]+0
   2: (61) r3 = *(u32 *)(r6 +0)
   3: (18) r1 = map[id:20][0]+0
   5: (b7) r2 = 15
   6: (85) call bpf_trace_printk#-73840
; counter++;
   7: (61) r1 = *(u32 *)(r6 +0)
   8: (07) r1 += 1
   9: (63) *(u32 *)(r6 +0) = r1
; return XDP_PASS;
  10: (b7) r0 = 2
  11: (95) exit

运行时编译机器码

jit即just in time,虽然上面看到的转换后的字节码已经是很低级了，但是还不是最终的机器码。ebpf使用即时编译器来将ebpf字节码转换成真正运行本地cpu上的机器码。
仍然使用bpftool查看真正的机器码:

#  bpftool prog dump jited name hello
int hello(struct xdp_md * ctx):
bpf_prog_d35b94b4c0c10efb_hello:
; bpf_printk("Hello World %d", counter);
  0:   stp     x29, x30, [sp, #-16]!
  4:   mov     x29, sp
  8:   stp     x19, x20, [sp, #-16]!
  c:   stp     x21, x22, [sp, #-16]!
 10:   stp     x25, x26, [sp, #-16]!
 14:   mov     x25, sp
 18:   mov     x26, #0
 1c:   sub     sp, sp, #0
 20:   mov     x19, #-281474976710656
 24:   movk    x19, #32768, lsl #32
 28:   movk    x19, #2184, lsl #16
 2c:   mov     x10, #0
 30:   ldr     w2, [x19, x10]
 34:   mov     x0, #-239581865705473
 38:   movk    x0, #16459, lsl #16
 3c:   movk    x0, #44304
 40:   mov     x1, #15
 44:   mov     x10, #-15440
 48:   movk    x10, #27055, lsl #16
 4c:   movk    x10, #51572, lsl #32
 50:   blr     x10
 54:   add     x7, x0, #0
; counter++;
 58:   mov     x10, #0
 5c:   ldr     w0, [x19, x10]
 60:   add     x0, x0, #1
 64:   mov     x10, #0
 68:   str     w0, [x19, x10]
; return XDP_PASS;
 6c:   mov     x7, #2
 70:   mov     sp, sp
 74:   ldp     x25, x26, [sp], #16
 78:   ldp     x21, x22, [sp], #16
 7c:   ldp     x19, x20, [sp], #16
 80:   ldp     x29, x30, [sp], #16
 84:   add     x0, x7, #0
 88:   ret

至此“Hello World”程序已经加载到内核中，但是此时它还没有与事件关联，因此没有任何东西会触发它运行。它需要附加到一个事件。

附加到事件

仍然使用bpftool,额外的，如果是xdp程序，也可以使用ip link来加载到网络接口上:

 bpftool net attach xdp name hello  dev eth0
root@lima-learning-ebpf:/Users/xuweidong/project/learning-ebpf/chapter3# bpftool net list
xdp:
eth0(2) driver id 123

tc:

flow_dissector:

netfilter:
# ip link
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN mode DEFAULT group default qlen 1000
    link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
2: eth0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 xdp qdisc fq_codel state UP mode DEFAULT group default qlen 1000
    link/ether 52:55:55:c9:9e:d6 brd ff:ff:ff:ff:ff:ff
    prog/xdp id 123 tag d35b94b4c0c10efb jited

查看输出,可以不使用/sys/kernel/debug/tracing/trace_pipe，而使用bpftool查看:

# bpftool prog  tracelog
bpftool-16915   [002] d.s.. 39786.828735: bpf_trace_printk: Hello World 13115
          <idle>-0       [002] d.s.. 39786.830403: bpf_trace_printk: Hello World 13116
          <idle>-0       [003] d.s.. 39797.947963: bpf_trace_printk: Hello World 13117
...

分离程序

事件关联去除:

# bpftool net detach xdp  dev eth0
root@lima-learning-ebpf:/Users/xuweidong/project/learning-ebpf/chapter3# bpftool net list
xdp:

tc:

flow_dissector:

netfilter:

卸载程序

从内核卸载ebpf程序很直接，直接rm就行了

# rm /sys/fs/bpf/hello

成功了同样没输出，可以使用bpftool prog show name hello查看，没输出代表卸载成功。

第4章 bpf()系统调用

这章探索了最原始的系统调用bpf()，也即前面的bcc，以及利用libbpf写的程序真正调用的系统接口。这章暂时先不看了。

第5章 CO-RE, BTF, and Libbpf

CO-RE概览

CO-RE即一次编译，任何地方运行compile once,run everywhere。CO-RE一般被读做和单词core同样发音，而不是读两个音节。
专有名词解释
BTF
一种用于表示数据结构布局和函数签名的格式，在CO-RE中用于确定在编译时和运行时的结构体的任何差异，也在bpftool中用来用更易读的格式打印结构体内容。linux 5.4开始支持
内核头文件
包含于内核源码，用来描述内核使用的数据结构，在不同版本的内核，头文件可能有变更。ebpf开发者可以选择包含单独的头文件，也可以使用bpftool来从运行的系统中生成一个叫vmlinux.h的头文件，这个头文件包含了所有的ebpf程序也许需要的内核的数据结构信息。
编译支持
clang编译器可以在加了-g的flag编译ebpf程序时包含CO-RE相关信息。GCC也添加了支持，但是要在GCC12才有。
数据结构重定位的库支持
当用户空间程序向内核加载ebpf程序时，CO-RE需要根据编译进obj的CO-RE重定位信息将字节码进行调整以适应结构体在编译时和目标机器运行时的实现的不同。目前libbpf，还有cilium的go库以及aya都实现了这个。
BPF skeleton
BPF skeleton可以在编译ebpf obj文件时自动生成，这里面包含了一些易用的函数，使用这些函数可以让用户态代码来调用去管理bpf程序的生命周期-比如加载到内核，关联到事件之类的。可以使用bpftool gen skeleton来生成skeleton。这些函数是高层抽象的，相比于libpbf等基础库，这些函数对开发者来说可以更方便。

BTF例子

BCC结构体：

struct user_msg_t {
 char message[12];
};

BTF,定义了这个结构体的布局:

[1] TYPEDEF 'u32' type_id=2
[2] TYPEDEF '__u32' type_id=3
[3] INT 'unsigned int' size=4 bits_offset=0 nr_bits=32 encoding=(none)
[4] STRUCT 'user_msg_t' size=12 vlen=1
 'message' type_id=6 bits_offset=0
[5] INT 'char' size=1 bits_offset=0 nr_bits=8 encoding=(none)
[6] ARRAY '(anon)' type_id=5 index_type_id=7 nr_elems=12
[7] INT '__ARRAY_SIZE_TYPE__' size=4 bits_offset=0 nr_bits=32 encoding=(none)

BCC函数

int hello(void *ctx)

BTF，typeid 32定义了函数原型信息:

[10] PTR '(anon)' type_id=0
...
[23] INT 'int' size=4 bits_offset=0 nr_bits=32 encoding=SIGNED
...
[31] FUNC_PROTO '(anon)' ret_type_id=23 vlen=1
 'ctx' type_id=10
[32] FUNC 'hello' type_id=31 linkage=static

另外也可以这样来获取btf信息：

# bpftool btf dump map name config                               4031 0 lima-guestagent Hey root!
[1] TYPEDEF 'u32' type_id=2                                                                                                             4033 0 lima-guestagent Hey root!
[4] STRUCT 'user_msg_t' size=12 vlen=1                                                                                                  4034 0 lima-guestagent Hey root!
        'message' type_id=6 bits_offset=0

对应的BPF HASH：

BPF_HASH(config, u32, struct user_msg_t);

libbpf

生成内核头文件

就像前面提到的vmlinux.h可以减少的你工作，可以使用bpftool来生成：

bpftool btf dump file /sys/kernel/btf/vmlinux format c > vmlinux.h

如果没有/sys/kernel/btf/vmlinux这个文件，那可能需要开启CONFIG_DEBUG_INFO_BTF选项来重编内核。
如果你想要使用libbpf的bpf帮助函数，那么你就需要包含vmlinux.h或者linux/type.h，因为libbpf里使用了像u32,u64这种类型。

ebpf程序的节

使用libbpf的每个ebpf程序都需要使用SEC()来标记程序类型。
比如SEC("kprobe")会在编译的elf中产生一个kprobe的section，然后libbpf就知道应该将这个程序加载为BPF_PROG_TYPE_KPROBE。进一步的，通过程序类型，你可以指定这个程序关联的事件，libbpf将会使用这些信息自动的关联，比如使用SEC("ksyscall/execve")，将告诉加载器自动关联到kprobe的架构特定的execve上。
可用的节名和格式在libbpf手册可以查到。
以下是内核ebpf程序hello-buffer-config.bpf.c的部分节选，节的定义声明了ebpf程序应该挂接在哪，挂接的程序在其后定义:

SEC("ksyscall/execve")
int BPF_KPROBE_SYSCALL(hello, const char *pathname) //BPF_KPROBE_SYSCALL是一个宏，可以方便的访问syscall的参数，pathname就是即将被程序程序的路径名，而hello则是ebpf的程序名
{
 struct data_t data = {};
 struct user_msg_t *p;
 data.pid = bpf_get_current_pid_tgid() >> 32;
 data.uid = bpf_get_current_uid_gid() & 0xFFFFFFFF;
 bpf_get_current_comm(&data.command, sizeof(data.command));
 bpf_probe_read_user_str(&data.path, sizeof(data.path), pathname); //使用帮助函数，将pathname包含到perf 缓冲区输出的数据中去。
 p = bpf_map_lookup_elem(&my_config, &data.uid); 
 if (p != 0) {
 bpf_probe_read_kernel(&data.message, sizeof(data.message), p->message); 
 } else {
 bpf_probe_read_kernel(&data.message, sizeof(data.message), message);
 }
 bpf_perf_event_output(ctx, &output, BPF_F_CURRENT_CPU, 
 &data, sizeof(data)); //BPF_KPROBE_SYSCALL中定义了ctx
 return 0;
}

CO-RE 内存访问

ebpf验证器不允许你通过指针访问内存，libbpf提供了一些CO-RE包装函数，比如d= a->b->c->d;可以写成这样:

struct b_t *b;
struct c_t *c;
bpf_core_read(&b, 8, &a->b);
bpf_core_read(&c, 8, &b->c);
bpf_core_read(&d, 8, &c->d);

或更紧凑的：

d = BPF_CORE_READ(a, b, c, d);

在这之后，你就可以通过bpf_probe_read_kernel()从指针d来读取了。

编译CO-RE ebpf程序

编译参数
llvm-strip -g 保留-g，去除DWARF调试信息
-O2 clang产生ebpf字节码所需
-D __TARGET_ARCH_($ARCH) 当你使用了一些libbpf定义的宏，你必须在编译时指定目标架构，因为这些宏是架构相关的.在这里$ARCH是像arm64,amd64等架构名。
因此，一次编译，到处运行，也许应该叫做在每个架构上，一次编译，到处运行。
最终的编译脚本如下：

hello-buffer-config.bpf.o: %.o: %.c
 clang \
 -target bpf \
 -D __TARGET_ARCH_$(ARCH) \
 -I/usr/include/$(shell uname -m)-linux-gnu \
 -Wall \
 -O2 -g \
 -c $< -o $@
 llvm-strip -g $@

为何要生成CO-RE用户态代码

前面章节中，可以利用bpftool直接将ebpf程序加载到内核，甚至关联到事件，然而，在许多应用中，你可能并不想让用户自己来运行bpftool加载ebpf程序。相反，你希望将此功能构建到作为可执行文件提供的专用用户空间程序中。为此，你需要自己写一个用户态程序。

bpf skeletons

在这里的例子中，可以使用如下命令来从已经编译好的ebpf obj文件来自动生成skeletons:

bpftool gen skeleton hello-buffer-config.bpf.o > hello-buffer-config.skel.h

在这个生成的头文件中，你可以看到里面包含了ebpf程序和mas的结构体定义，还有一些以obj文件名字为开头的函数:hello_buffer_config_bpf__xxx。这些函数用来管理ebpf程序和maps的生命周期。
在这个头文件的最后，还有这个:

static inline const void *hello_buffer_config_bpf__elf_bytes(size_t *sz)
{
        static const char data[] __attribute__((__aligned__(8))) = "\
\x7f\x45\x4c\x46\x02\x01\x01\0\0\0\0\0\0\0\0\0\x01\0\xf7\0\x01\0\0\0\0\0\0\0\0\
\0\0\0\0\0\0\0\0\0\0\0\x98\x13\0\0\0\0\0\0\0\0\0\0\x40\0\0\0\0\0\x40\0\x0e\0\
\x01\0\xbf\x16\0\0\0\0\0\0\x18\x01\0\0\0\0\0\0\0\0\0\0\0\0\0\0\x71\x11\0\0\0\0\
...
\0\0\0\0\0\0\0\x70\x0e\0\0\0\0\0\0\x20\x01\0\0\0\0\0\0\x01\0\0\0\x06\0\0\0\x08\
\0\0\0\0\0\0\0\x18\0\0\0\0\0\0\0";

        *sz = sizeof(data) - 1;
        return (const void *)data;
}

这个就是obj文件的内容，当skeleton文件生成后，obj文件就不在需要了。
这些函数在稍后编写的用户态程序中都会用到。

用户态程序

以下就是用户态程序hello-buffer-config.c：

... [other #includes]
#include "hello-buffer-config.h" 
#include "hello-buffer-config.skel.h"
... [some callback functions]
int main()
{
 struct hello_buffer_config_bpf *skel;
 struct perf_buffer *pb = NULL;
 int err;
 libbpf_set_print(libbpf_print_fn); //设置回调函数显示libbpf产生的日志信息
 skel = hello_buffer_config_bpf__open_and_load(); //skeleton内联函数，实现了所有maps和程序在elf里的定义以及内核加载
...
 err = hello_buffer_config_bpf__attach(skel); //设置自动挂接到合适的事件
...
 pb = perf_buffer__new(bpf_map__fd(skel->maps.output), 8, handle_event,
 lost_event, NULL, NULL); //创建结构体来处理perfbuffer的输出
 
...
 while (true) { //持续轮询perf buffer
 err = perf_buffer__poll(pb, 100);
...}
 perf_buffer__free(pb); //清理环境的代码
 hello_buffer_config_bpf__destroy(skel);
 return -err;
}

第6章 ebpf验证器

跳过，这章提到你写的程序很大可能通过不了验证器的验证，所以写程序也是个很大的挑战

第7章 ebpf程序和挂接类型

帮助函数的man手册，对应每种ebpf程序类型以及挂接类型，允许使用的帮助函数是不同的，比如在某些类型的ebpf程序中，某些帮助函数是没有意义的。可以使用bpftool feature命令来查看运行使用的帮助函数。

Kfuncs

在ebpf程序中允许调用一些内核内部的函数，这个机制被称为kfuncs。kfuncs允许内部的内核函数被注册到bpf子系统，这样，验证器可以允许ebpf程序来调用这些函数。一般认为程序类型分为两类:跟踪(或性能)程序类型和与网络相关的程序类型。下面将分别介绍这两种。

追踪程序

kprobe/ketprobe

kprobe几乎可以挂接到内核的任何地方，除了一些特殊的地方，比如kprobe本身，这是为了避免死循环。除了函数入口点和退出的地方，还可以设置偏移在特定指令。
系统调用kprobe的上下文参数是一个结构，表示用户空间传递给系统调用的值。“常规”(非系统调用)kprobe的上下文参数是一个结构，表示调用该函数的内核代码传递给该函数的参数，因此该结构取决于函数定义。

fentry/fexit

x86在5.5支持,arm在6.0支持。
fentry/fexit比kprobe/kretprobe更高效，并且fexit除了返回值还能访问函数入参，这是kretprobe办不到的。

SEC("kretprobe/do_unlinkat")
int BPF_KRETPROBE(do_unlinkat_exit, long ret)

SEC("fexit/do_unlinkat")
int BPF_PROG(do_unlinkat_exit, int dfd, struct filename *name, long ret)

tracepoint

跟踪点是在内核代码中标记的位置(我们将在本章后面讨论用户空间跟踪点)。它们绝不是eBPF所独有的，长期以来一直用于生成内核跟踪输出和SystemTap等工具。与使用kprobes附加到任意指令不同，跟踪点在内核版本之间是稳定的(尽管旧内核可能没有添加到新内核中的完整跟踪点集)。
使用cat /sys/kernel/tracing/available_events可以查看追踪点。
在这里，没有btf的帮助，需要自己使用命令查看格式:

#  cat /sys/kernel/tracing/events/syscalls/sys_enter_execve/format
name: sys_enter_execve
ID: 627
format:
        field:unsigned short common_type;       offset:0;       size:2; signed:0;
        field:unsigned char common_flags;       offset:2;       size:1; signed:0;
        field:unsigned char common_preempt_count;       offset:3;       size:1; signed:0;
        field:int common_pid;   offset:4;       size:4; signed:1;

        field:int __syscall_nr; offset:8;       size:4; signed:1;
        field:const char * filename;    offset:16;      size:8; signed:0;
        field:const char *const * argv; offset:24;      size:8; signed:0;
        field:const char *const * envp; offset:32;      size:8; signed:0;

print fmt: "filename: 0x%08lx, argv: 0x%08lx, envp: 0x%08lx", ((unsigned long)(REC->filename)), ((unsigned long)(REC->argv)), ((unsigned long)(REC->envp))

然后自己定义结构体并使用:

struct my_syscalls_enter_execve {
 unsigned short common_type;
 unsigned char common_flags;
 unsigned char common_preempt_count;
 int common_pid;
 long syscall_nr;
 long filename_ptr;
 long argv_ptr;
 long envp_ptr;
};
SEC("tp/syscalls/sys_enter_execve")
int tp_sys_enter_execve(struct my_syscalls_enter_execve *ctx) {

btf-enabled tracepoint

使用vmlinux.h中的结构体:

SEC("tp_btf/sched_process_exec")
int handle_exec(struct trace_event_raw_sched_process_exec *ctx)

用户态挂接点

uprobe/uretprobe,user statically defined tracepoints (USDTs)
如果想挂接到openssl的函数SSL_write(),可以像下面这样定义:

SEC("uprobe/usr/lib/aarch64-linux-gnu/libssl.so.3/SSL_write")

LSM

跳过，安全模块相关

网络程序

网络消息处理过程中有很多ebpf程序类型，当他们经过网络协议栈的很多流程时
《Learning eBPF》读书笔记_第1张图片
网络程序和跟踪程序不同，网络程序允许自定义网络行为:
1.使用返回值决定包处理行为，正常处理，丢弃，转发到不同目的地
2.允许ebpf程序修改网络包，socket配置参数等

sockets

tc:traffic control

xdp

flow dissector

lightweight tunnels

cgroups

control groups，

infrared controllers

bpf挂接类型

附件类型对程序在系统中的附加位置提供了更细粒度的控制。对于某些程序类型，它与可以附加到的钩子类型有一对一的关联，因此附加类型由程序类型隐式定义。例如，XDP程序被附加到网络栈中的XDP钩子上。对于一些程序类型，还必须指定附件类型。
附件类型涉及到决定哪些辅助函数有效，并且在某些情况下，它还限制对部分上下文信息的访问。
您还可以在内核函数bpf_prog_load_check_attach(在bpf/ sycall .c中定义)中查看哪些程序类型需要指定附件类型，以及哪些附件类型是有效的。

第8章 ebpf网络编程

跳过，看累了

第9章 ebpf安全

累

第10章 ebpf编程

第11章 ebpf的未来演变

你可能感兴趣的:(ebpf,ebpf,bcc,libbpf,bpftool)

  • Logstash - JSON格式文件转换 kikiki2
    一份简单可用的JSON转换配置test.log{"time":1526659044,"data":"{\"appKey\":\"7b9a2890-5754-11e8-983c-6b4bcc3b7c2e\",\"channelCode\":\"\",\"channelId\":\"\",\"createDateTime\":1526659043119,\"path\":\"\",\"query\":
  • 云原生 | 在 Kubernetes 中使用 Cilium 替代 Calico 网络插件实践指南! 全栈工程师修炼指南 企业IT运维实践云原生kubernetes网络容器
    [知识是人生的灯塔，只有不断学习，才能照亮前行的道路]0x00简述介绍什么是Cilium?Cilium是一款开源软件，它基于一种名为eBPF的新的Linux内核技术提供动力，用于透明地保护使用Docker和Kubernetes等Linux容器管理平台中部署的应用程序服务之间的网络连接，Cilium主要使用场景是在Kubernetes中，但Cilium的优势并不仅限于Kubernetes环境。在Ku
  • 观测云核心技术解密：eBPF Tracing 实现原理 观测云 网络ebpf
    前言eBPF是一种强大的内核技术，允许在内核中安全地执行自定义代码。通过eBPF，开发者可以在不修改内核源码的情况下，对内核功能进行扩展和监控。eBPFTracing利用这一技术，对系统调用、内核函数等进行跟踪，从而实现对应用行为的深入洞察。与传统的监控方式相比，eBPFTracing具有以下优势：无侵入性：无需修改应用代码即可进行监控。高性能：在内核层面执行，减少了对应用性能的影响。细粒度：可以
  • vue3+ts 引入 json-editor-vue3 报错 Red_Xx jsonvue.jsjavascript
    报错内容SyntaxError:Therequestedmodule'/node_modules/jsoneditor/dist/jsoneditor.min.js?v=00499bcc'doesnotprovideanexportnamed'default'(atjson-editor.vue:2:8)尝试解决、1.import'jsoneditor'importJsonEditorVuefro
  • 云原生周刊：Kubernetes v1.31 发布 KubeSphere 云原生 k8s容器平台kubesphere云计算
    开源项目推荐KardinalKardinal是一个用于在共享Kubernetes集群中创建超轻量级临时开发环境的框架。AnteonAnteon（以前称为Ddosify）是一个开源的、基于eBPF的Kubernetes监控和性能测试平台。KubetuiKubetui是一个用于监控Kubernetes资源的终端用户界面(TUI)工具。它为开发人员和运维人员提供了一个易于使用的界面，可访问有关其应用程序
  • 5.68 BCC工具之runqlat.py解读 高桐@BILL AndroideBPFBooklinuxebpfandroidbccpython
    一，工具简介runqlat工具用于分析和监视运行队列延迟。运行队列是操作系统内核中用于管理待运行进程的数据结构。当进程准备运行时，它们会被添加到运行队列中，然后由调度器选择并在CPU上执行。runqlat工具通过测量进程在运行队列中等待的时间，并以直方图的形式展示，它显示了任务等待在CPU上运行的时间。这帮助开发者了解系统调度行为的性能。使用该工具可以帮助我们识别和解决与调度延迟相关的问题。例如，
  • 5.53 BCC工具之dbslower.py解读 高桐@BILL AndroideBPFBooklinuxebpfandroidpythonbcc
    一，工具简介dbstat用于追踪由MySQL或PostgreSQL数据库进程执行的查询，并显示查询延迟的直方图。二，代码示例#!/usr/bin/envpythonfrombccimportBPF,USDTimportargparseimportsubprocessfromtimeimportsleep,strftimeexamples="""dbstatpostgres#displayahist
  • 【ARMv8M Cortex-M33 系列 2.4 -- JFlash 烧写之链接脚本介绍】 主公CodingCos #【ARMv8MM33专栏】嵌入式硬件arm开发
    文章目录JFlash烧写之链接脚本介绍MEMORY区段示例SECTIONS区段示例符号定义启动代码实际使用ARMBCC指令介绍BCC指令使用举例JFlash烧写之链接脚本介绍在RT-Thread实时操作系统中，链接脚本（LinkerScript）定义了如何将代码和数据映射到微控制器的内存中。链接脚本通常以.ld为扩展名。对于特定的微控制器，如RenesasR7FA4M2AC3C，链接脚本中的MEM
  • eBPF实践篇之环境搭建 醉墨居士 eBPFlinux网络c语言
    文章目录前言实验环境前置知识配置开发环境最后前言你好，我是醉墨居士，本次我们学习一下eBPF，我们基于libbpf-bootstrap来进行我们的eBPF程序开发实验环境一台Debian12操作系统的计算机，我使用的是Debian12.2.0-amd64其它Linux发行版的环境也可以，Linux内核不低于5.4版本前置知识c语言，linux系统基本操作配置开发环境在Ubuntu/Debian系统
  • 汉语教学备课工具推荐 Mil_Pasos
    BCC语料库网站地址：http://bcc.blcu.edu.cn150亿字的超大容量，堪称全面反映当前社会语言生活的大规模语料库。既有书面语体，又有口语体语料。它的搜索功能堪称经典，输入相关的文字和代码可以实现语料精确查找，这个对于老师想确定词语用法和搭配非常有用。BCC语料库汉语分级阅读指南针网站地址：www.languagedata.net初级词，高级词分别是哪些？教案准备的词句会不会超纲？
  • 5.8 BCC工具之mysqld_query.py解读 huangyabin001 AndroideBPFBookandroidlinuxebpf
    一，mysqld_query简介我们首先来看USDT，USDT即UserlandStaticallyDefinedTracing，它是一种静态定义的跟踪技术，用于在用户空间应用程序中添加自定义的跟踪点。USDT利用DTrace（动态跟踪）框架，允许开发者在代码中定义跟踪点，并在需要时启用它们。这样，开发人员可以在不改变程序代码的情况下，对程序的运行时行为进行详细的分析和调试。而我们的mysqld_
  • 【理解 Cilium 系列文章】(一) 初识 Cilium 云原生Serverless 云原生ciliumcilium网络
    Cilium作为近两年最火的云原生网络方案，可谓是风头无两。作为第一个通过ebpf实现了kube-proxy所有功能的网络插件，它的神秘面纱究竟是怎样的呢？本系列文章将带大家一起来慢慢揭晓作为《理解Cilium系列文章》的第一篇，本文主要介绍Cilium的发展，相关功能以及使用，深入理解及底层原理将在后续文章中继续介绍背景随着云原生的普及率越来越高，各大厂商基本上或多或少都实现了业务的k8s容器化
  • 【理解 Cilium 系列文章】(二) 理解网络数据包的流转过程 云原生Serverless 云原生ciliumlinuxebpfcilium云原生
    Cilium作为近两年最火的云原生网络方案，可谓是风头无两。作为第一个通过ebpf实现了kube-proxy所有功能的网络插件，它的神秘面纱究竟是怎样的呢？本系列文章将带大家一起来慢慢揭晓作为《理解Cilium系列文章》的第二篇，本文主要介绍Cilium网络相关知识点，为后续Cilium的深入了解做铺垫。了解Cilium是如何在网络流转的路径中做拦截处理的之前的两篇文章【25张图，一万字，拆解Li
  • eBPF 科普第一弹｜ 初识 eBPF，你应该知道的知识 云原生与道客 云原生kubernetescloudnative容器docker
    “eBPF作为一颗在基础软件领域冉冉上升的新星，可谓前途大好，越来越多的基于eBPF的应用如雨后春笋般蓬勃涌现，这是eBPF展现出的惊人力量。本文就将带着大家了解eBPF。11月，「DaoCloud道客」正式加入了eBPF基金会，是继8月12日创始成员Facebook、Google、Isovalent、Microsoft和Netflix之后，第一家正式获准加入的中国公司。01什么是eBPF与eBP
  • 初识 eBPF，你应该知道的知识 Docker_ 网络数据结构pythonlinuxjava
    eBPF作为一颗在基础软件领域冉冉上升的新星，可谓前途大好，越来越多的基于eBPF的应用如雨后春笋般蓬勃涌现，这是eBPF展现出的惊人力量。本文就将带着大家了解eBPF。什么是eBPF与eBPF基金会？简单来说，eBPF是Linux内核中一个非常灵活与高效的类虚拟机（virtualmachine-like）组件，能够在许多内核hook点安全地执行字节码（bytecode）。很多内核子系统都已经使用
  • 初识eBPF YoungerChina 内核驱动EBPF内核Linux
    eBPF是一项革命性的技术，它能在操作系统内核中运行沙箱程序。被用于安全并有效地扩展内核的能力而无需修改内核代码或者加载内核模块。从古至今，由于内核有监视和控制整个系统的特权，操作系统一直都是实现可观察性、安全性和网络功能的理想场所。同时，操作系统内核也很难进化，因为它的核心角色以及对稳定和安全的高度要求。因此，操作系统级别的创新相比操作系统之外实现的功能较少。eBPF从根本上改变了这个定律。通过
  • 基于WebGPU的AI原生3D引擎将会迎来新机遇！Orillusion在GOTC上做主题演讲！ 前端
    全球开源技术峰会（GlobalOpen-sourceTechnologyConferencGOTC2023由开放原子开源基金会、Linux基金会亚太区、上海浦东软件园和开源中国联合发起，于5月27日至28日在上海顺利举行。GOTC是面向全球开发者的一场盛大开源技术盛宴，大会以行业展览、主题发言、专题论坛、开源市集的形式展现，与会者将一起探讨元宇宙、3D与游戏、eBPF、Web3.0、区块链等热门技
  • ebpf-go 初体验
    前言我们在《用eBPF/XDP来替代LVS》系列、《一张图感受真实的TCP状态转移》系列，以及《如何终结已存在的TCP连接?》系列文章中，均通过纯C语言和libbpf1这个库来运用eBPF。但是很多的场景中（尤其是云原生场景），我们出于避免重复造轮子、更快的迭代速度、运行时安全等原因，会选择go语言来进行开发，ebpf-go2这个库就是当前最好的选择。今天，我们就对ebpf-go进行一个初体验，这
  • beyla源码：golang程序的trace context propagation goebpfbpftrace
    beyla支持通过ebpf，自动采集应用程序的trace信息。对于golang程序，beyla还支持tracecontextprogagation，即微服务之间的trace上下文传播，这样服务之间调用的链条就连起来了，达到了普通的侵入式tracing同样的效果。以golang的nethttp为例，讲述beyla对tracecontextpropagation的实现原理。一.整体原理Tracecon
  • beyla源码：golang程序的trace采集 goebpfbpftrace
    beyla支持通过ebpf，无侵入的、自动采集应用程序的trace信息。以golang的nethttp为例，讲述beyla对trace的采集的实现原理。一.整体原理trace采集时，监听了golang应用程序的net/http中的函数：net/http.serverHandler.ServeHTTP;net/http.(*Transport).roundTrip;监听ServeHTTP时：若req
  • cdo 常用命令——处理海洋数据 cjj_ CDOmatlab汇编
    1.（简单信息查询：显示存储数据信息、经纬度信息、层数信息，时间范围等）cdoinfosfilename.nc2.查看文件的时间戳cdoshowtimestampmerge60.nccdoshowdatemerge60.nc3.合并60年的数据，总共12个月cdomergetime*MMEAN0060*merge60.nc4.查看文件信息cdosinfonpr_BCC_ssp126_202001-
  • Cilium CNI深度指南 程序员
    Cilium是基于eBPF的功能强大的CNI插件，为云原生环境提供了强大的网络和安全支持。原文:CiliumCNI:AComprehensiveDeepDiveGuideforNetworkingandSecurityEnthusiasts!简介欢迎阅读为网络和安全爱好者提供的全面深入的指南！本文将以一种初学者也能理解的方式解析Cilium的概念和复杂性，如果你对如何通过Cilium网络性能和安全
  • C语言用户态函数可观测性
    本文不是介绍eBPF相关的用户态Probe的内容，而是如何利用开源C语言库Melon的函数模板来轻松实现函数的可观测性需求，例如：测量耗时等。本文主要介绍的是Melon库中的func模块，之所以没有给这个模块起名叫可观测性或者span，原因是这是一个更为通用的模块，不仅限于可观测性的需求。func模块实现的功能与GCC的constructor和destructor特性十分相似，就是在C语言函数的入
  • Cilium CNI深度指南 俞凡 DeepNoMind 程序人生
    Cilium是基于eBPF的功能强大的CNI插件，为云原生环境提供了强大的网络和安全支持。原文:CiliumCNI:AComprehensiveDeepDiveGuideforNetworkingandSecurityEnthusiasts!简介欢迎阅读为网络和安全爱好者提供的全面深入的指南！本文将以一种初学者也能理解的方式解析Cilium的概念和复杂性，如果你对如何通过Cilium网络性能和安全
  • BUU UPLOAD COURSE 1 Fab1an CTF网络安全web安全http网络笔记
    进去之后是一个上传页面尝试上传一句话木马的php代码，保存为一个1.php，然后上传发现后缀名被改为jpg了访问一下http://a82bcc09-b809-42c9-b5ad-5406b72e5707.node5.buuoj.cn:81/uploads/65bfa77eab1f6.jpg发现可以预览，但是执行不了木马的代码状态码405MethodNotAllowed表明服务器禁止了使用当前HTT
  • 云原生可观测洞察及openEuler社区实践 openEuler社区 openEuler技术博客云原生openeuler开源操作系统ebpfk8s
    应用可观测性可以对企业运营产生的实际数据进行分析，可观测性将成为企业数据驱动决策的最强支撑。云原生时代的基础设施更复杂，也暴露出可观测性存在一些问题，包括基础设施观测能力不足，缺乏应用视角的基础设施观测数据等，这些都为下一代云原生可观测提供了机会与挑战。openEuler社区项目gala-gopher[1]基于eBPF技术完成一系列全栈可观测实践工作。eBPF及其对可观测的意义eBPF是一个能够在
  • OSDI论文:XRP: In-Kernel Storage Functions with eBPF colagy wang linux
    1.论文概述当前NVMe存储设备的出现可以达到微秒级,Linux内核系统调用以及块存储设备所产生的开销的比例也明显上升.2.背景和动机![image.png](https://img-blog.csdnimg.cn/img_convert/cd713687ffe6f69473cd5b657b63b8d7.png#clientId=u6eca4c97-25d9-4&crop=0&crop=0&cro
  • 解决XCode运行app在模拟器上，提示模拟器不存在 Mr周190728
    因为清理磁盘数据，用XCode运行app在模拟器上，提示模拟器不存在UnabletobootdevicebecauseitcannotbelocatedondiskThedevice’sdataisnolongerpresentat/Users/[username]/Library/Developer/CoreSimulator/Devices/D651BCC7-29FD-4B91-82F6-E2
  • 【kubernets】由Evicted状态的Pod探讨k8s中pod的驱逐策略 margu_168 Kuberneteskubernetesdocker容器
    背景某天突然发现自己的测试环境中有Evicted状态的pod，于是需要排查原因。先来看看大致情况：[root@k8s-m1~]#kubectlgetpod-A-owide|grepk8s-m1kube-systemcalico-kube-controllers-bcc6f659f-575mr1/1Running3177d10.244.42.148k8s-m1kube-systemcalico-no
  • Logstash - JSON格式文件转换 kikiki1
    一份简单可用的JSON转换配置test.log{"time":1526659044,"data":"{\"appKey\":\"7b9a2890-5754-11e8-983c-6b4bcc3b7c2e\",\"channelCode\":\"\",\"channelId\":\"\",\"createDateTime\":1526659043119,\"path\":\"\",\"query\":
  • 书其实只有三类 西蜀石兰 类
    一个人一辈子其实只读三种书，知识类、技能类、修心类。 知识类的书可以让我们活得更明白。类似十万个为什么这种书籍，我一直不太乐意去读，因为单纯的知识是没法做事的，就像知道地球转速是多少一样（我肯定不知道），这种所谓的知识，除非用到，普通人掌握了完全是一种负担，维基百科能找到的东西，为什么去记忆？ 知识类的书，每个方面都涉及些，让自己显得不那么没文化，仅此而已。社会认为的学识渊博，肯定不是站在
  • 《TCP/IP 详解，卷1：协议》学习笔记、吐槽及其他 bylijinnan tcp
    《TCP/IP 详解，卷1：协议》是经典，但不适合初学者。它更像是一本字典，适合学过网络的人温习和查阅一些记不清的概念。 这本书，我看的版本是机械工业出版社、范建华等译的。这本书在我看来，翻译得一般，甚至有明显的错误。如果英文熟练，看原版更好： http://pcvr.nl/tcpip/ 下面是我的一些笔记，包括我看书时有疑问的地方，也有对该书的吐槽，有不对的地方请指正： 1.
  • Linux—— 静态IP跟动态IP设置 eksliang linuxIP
    一.在终端输入 vi /etc/sysconfig/network-scripts/ifcfg-eth0 静态ip模板如下： DEVICE="eth0" #网卡名称 BOOTPROTO="static" #静态IP（必须） HWADDR="00:0C:29:B5:65:CA" #网卡mac地址 IPV6INIT=&q
  • Informatica update strategy transformation 18289753290
    更新策略组件： 标记你的数据进入target里面做什么操作，一般会和lookup配合使用，有时候用0,1,1代表 forward  rejected rows被选中，rejected row是输出在错误文件里，不想看到reject输出，将错误输出到文件，因为有时候数据库原因导致某些column不能update，reject就会output到错误文件里面供查看，在workflow的
  • 使用Scrapy时出现虽然队列里有很多Request但是却不下载，造成假死状态 酷的飞上天空 request
    现象就是： 程序运行一段时间，可能是几十分钟或者几个小时，然后后台日志里面就不出现下载页面的信息，一直显示上一分钟抓取了0个网页的信息。 刚开始已经猜到是某些下载线程没有正常执行回调方法引起程序一直以为线程还未下载完成，但是水平有限研究源码未果。 经过不停的google终于发现一个有价值的信息，是给twisted提出的一个bugfix 连接地址如下http://twistedmatrix.
  • 利用预测分析技术来进行辅助医疗 蓝儿唯美 医疗
    2014年，克利夫兰诊所（Cleveland Clinic）想要更有效地控制其手术中心做膝关节置换手术的费用。整个系统每年大约进行2600例此类手术，所以，即使降低很少一部分成本，都可以为诊 所和病人节约大量的资金。为了找到适合的解决方案，供应商将视野投向了预测分析技术和工具，但其分析团队还必须花时间向医生解释基于数据的治疗方案意味着 什么。  克利夫兰诊所负责企业信息管理和分析的医疗
  • java 线程(一)：基础篇 DavidIsOK java多线程线程
                                                            &nbs
  • Tomcat服务器框架之Servlet开发分析 aijuans servlet
    最近使用Tomcat做web服务器，使用Servlet技术做开发时，对Tomcat的框架的简易分析： 疑问： 为什么我们在继承HttpServlet类之后，覆盖doGet(HttpServletRequest req, HttpServetResponse rep)方法后，该方法会自动被Tomcat服务器调用，doGet方法的参数有谁传递过来？怎样传递？ 分析之我见： doGet方法的
  • 揭秘玖富的粉丝营销之谜 与小米粉丝社区类似 aoyouzi 揭秘玖富的粉丝营销之谜
    玖富旗下悟空理财凭借着一个微信公众号上线当天成交量即破百万，第七天成交量单日破了1000万;第23天时，累计成交量超1个亿……至今成立不到10个月，粉丝已经超过500万，月交易额突破10亿，而玖富平台目前的总用户数也已经超过了1800万，位居P2P平台第一位。很多互联网金融创业者慕名前来学习效仿，但是却鲜有成功者，玖富的粉丝营销对外至今仍然是个谜。   　　近日，一直坚持微信粉丝营销
  • Java web的会话跟踪技术 百合不是茶 url会话Cookie会话Seession会话Java Web隐藏域会话
    会话跟踪主要是用在用户页面点击不同的页面时,需要用到的技术点   会话:多次请求与响应的过程     1,url地址传递参数,实现页面跟踪技术          格式:传一个参数的 url?名=值     传两个参数的 url?名=值 &名=值   关键代码
  • web.xml之Servlet配置 bijian1013 javaweb.xmlServlet配置
    定义： <servlet> <servlet-name>myservlet</servlet-name> <servlet-class>com.myapp.controller.MyFirstServlet</servlet-class> <init-param> <param-name>
  • 利用svnsync实现SVN同步备份 sunjing SVN同步E000022svnsync镜像
    1. 在备份SVN服务器上建立版本库    svnadmin create test 2. 创建pre-revprop-change文件     cd test/hooks/     cp pre-revprop-change.tmpl pre-revprop-change 3. 修改pre-revprop-
  • 【分布式数据一致性三】MongoDB读写一致性 bit1129 mongodb
    本系列文章结合MongoDB，探讨分布式数据库的数据一致性，这个系列文章包括： 数据一致性概述与CAP 最终一致性(Eventually Consistency) 网络分裂(Network Partition)问题 多数据中心(Multi Data Center) 多个写者(Multi Writer)最终一致性 一致性图表(Consistency Chart) 数据
  • Anychart图表组件-Flash图转IMG普通图的方法 白糖_ Flash
    问题背景：项目使用的是Anychart图表组件，渲染出来的图是Flash的，往往一个页面有时候会有多个flash图，而需求是让我们做一个打印预览和打印功能，让多个Flash图在一个页面上打印出来。   那么我们打印预览的思路是获取页面的body元素，然后在打印预览界面通过$("body").append(html)的形式显示预览效果，结果让人大跌眼镜：Flash是
  • Window 80端口被占用 WHY? bozch 端口占用window
    平时在启动一些可能使用80端口软件的时候，会提示80端口已经被其他软件占用，那一般又会有那些软件占用这些端口呢？    下面坐下总结：         1、web服务器是最经常见的占用80端口的，例如：tomcat , apache  , IIS , Php等等；         2
  • 编程之美-数组的最大值和最小值-分治法（两种形式） bylijinnan 编程之美
    import java.util.Arrays; public class MinMaxInArray { /** * 编程之美 数组的最大值和最小值 分治法 * 两种形式 */ public static void main(String[] args) { int[] t={11,23,34,4,6,7,8,1,2,23}; int[]
  • Perl正则表达式 chenbowen00 正则表达式perl
    首先我们应该知道 Perl 程序中，正则表达式有三种存在形式，他们分别是： 匹配：m/<regexp>;/ （还可以简写为 /<regexp>;/ ，略去 m） 替换：s/<pattern>;/<replacement>;/ 转化：tr/<pattern>;/<replacemnt>;
  • [宇宙与天文]行星议会是否具有本行星大气层以外的权力呢? comsci
          举个例子: 地球,地球上由200多个国家选举出一个代表地球联合体的议会,那么现在地球联合体遇到一个问题,地球这颗星球上面的矿产资源快要采掘完了....那么地球议会全体投票,一致通过一项带有法律性质的议案,既批准地球上的国家用各种技术手段在地球以外开采矿产资源和其它资源........    &
  • Oracle Profile 使用详解 daizj oracleprofile资源限制
    Oracle Profile 使用详解 转 一、目的： Oracle系统中的profile可以用来对用户所能使用的数据库资源进行限制，使用Create Profile命令创建一个Profile，用它来实现对数据库资源的限制使用，如果把该profile分配给用户，则该用户所能使用的数据库资源都在该profile的限制之内。 二、条件： 创建profile必须要有CREATE PROFIL
  • How HipChat Stores And Indexes Billions Of Messages Using ElasticSearch & Redis dengkane elasticsearchLucene
    This article is from an interview with Zuhaib Siddique, a production engineer at HipChat, makers of group chat and IM for teams. HipChat started in an unusual space, one you might not
  • 循环小示例，菲波拉契序列，循环解一元二次方程以及switch示例程序 dcj3sjt126com c算法
    # include <stdio.h> int main(void) { int n; int i; int f1, f2, f3; f1 = 1; f2 = 1; printf("请输入您需要求的想的序列："); scanf("%d", &n); for (i=3; i<n; i
  • macbook的lamp环境 dcj3sjt126com lamp
      sudo vim /etc/apache2/httpd.conf   /Library/WebServer/Documents 是默认的网站根目录   重启Mac上的Apache服务   这个命令很早以前就查过了，但是每次使用的时候还是要在网上查： 停止服务：sudo /usr/sbin/apachectl stop 开启服务：s
  • java ArrayList源码 下 shuizhaosi888 ArrayList源码
    版本 jdk-7u71-windows-x64   JavaSE7 ArrayList源码上：http://flyouwith.iteye.com/blog/2166890     /** * 从这个列表中移除所有c中包含元素 */ public boolean removeAll(Collection<?> c) {
  • Spring Security（08）——intercept-url配置 234390216 Spring Securityintercept-url访问权限访问协议请求方法
    intercept-url配置 目录 1.1     指定拦截的url 1.2     指定访问权限 1.3     指定访问协议 1.4     指定请求方法   1.1   &n
  • Linux环境下的oracle安装 jayung oracle
    linux系统下的oracle安装 本文档是Linux(redhat6.x、centos6.x、redhat7.x) 64位操作系统安装Oracle 11g(Oracle Database 11g Enterprise Edition Release 11.2.0.4.0 - 64bit Production)，本文基于各种网络资料精心整理而成，共享给有需要的朋友。如有问题可联系：QQ：52-7
  • hotspot虚拟机 leichenlei javaHotSpotjvm虚拟机文档
    JVM参数  http://docs.oracle.com/javase/6/docs/technotes/guides/vm/index.html   JVM工具 http://docs.oracle.com/javase/6/docs/technotes/tools/index.html   JVM垃圾回收 http://www.oracle.com
  • 读《Node.js项目实践：构建可扩展的Web应用》 ——引编程慢慢变成系统化的“砌砖活” noaighost Webnode.js
    读《Node.js项目实践：构建可扩展的Web应用》 ——引编程慢慢变成系统化的“砌砖活” 眼里的Node.JS 初初接触node是一年前的事，那时候年少不更事。还在纠结什么语言可以编写出牛逼的程序，想必每个码农都会经历这个月经性的问题：微信用什么语言写的？facebook为什么推荐系统这么智能，用什么语言写的？dota2的外挂这么牛逼，用什么语言写的？……用什么语言写这句话，困扰人也是阻碍
  • 快速开发Android应用 rensanning android
    Android应用开发过程中，经常会遇到很多常见的类似问题，解决这些问题需要花时间，其实很多问题已经有了成熟的解决方案，比如很多第三方的开源lib，参考 Android Libraries 和 Android UI/UX Libraries。 编码越少，Bug越少，效率自然会高。 但可能由于 根本没听说过、听说过但没用过、特殊原因不能用、自己已经有了解决方案等等原因，这些成熟的解决
  • 理解Java中的弱引用 tomcat_oracle java工作面试
    　不久之前，我 面试了一些求职Java高级开发工程师的应聘者。我常常会面试他们说，“你能给我介绍一些Java中得弱引用吗？”，如果面试者这样说，“嗯，是不是垃圾回收有关的？”，我就会基本满意了，我并不期待回答是一篇诘究本末的论文描述。 　　然而事与愿违，我很吃惊的发现，在将近20多个有着平均5年开发经验和高学历背景的应聘者中，居然只有两个人知道弱引用的存在，但是在这两个人之中只有一个人真正了
  • 标签输出html标签" target="_blank">关于标签输出html标签 xshdch jsp
    http://back-888888.iteye.com/blog/1181202 关于<c:out value=""/>标签的使用，其中有一个属性是escapeXml默认是true(将html标签当做转移字符，直接显示不在浏览器上面进行解析)，当设置escapeXml属性值为false的时候就是不过滤xml，这样就能在浏览器上解析html标签， &nb