然而收益与风险并存，不久前爆出的Bvp47后门正是利用BPF技术惊人地在世界各地潜伏了近二十年。今日BPF已演进为eBPF，黑客会如何利用，造成什么危害？我们又该如何防范？

Mac无法使用wireshark进行抓包，报错解决办法sudochmod777/dev/bpf*

一、安装去官网直接下二、使用1、先在命令行给网卡一个权限sudochmod777/dev/bpf*2、重启Wireshark3、打开Wireshark双击WI-FI进入4、以抓163为例：让Wireshark

MacOSWireshark权限不足切换为root用户sudosuroot切换到/dev目录cd/dev查看bpf文件的权限（Wireshark监控数据包需要有bpf的读权限）ls-l|grepbpfbpf

比wireshark更happyudp就简易的多，tcp可能在设置bpf时多加几个条件由于协议分析是手写的,所以可以对数据包的交互记录到excel中再次进行分析

原文地址：https://linux.cn/article-9507-1.html什么是BPF?

原文BPFの導入検証器とJITコンパイラeBPFのバグの悪用题目下载BPF介绍BPF在介绍eBPF之前，先介绍其前身BPF。随着时代的发展，BPF的用途越来越广泛，扩展也越来越多。

神奇的linux技术：Linux观测技术bpf，用bpf来观测tcp网络|bpf原理讲解；bpftrace是使用与bt脚本；tcp建立连接与数据传输专注后台服务器开发，包含了C/C++，Linux，Nginx

基础1.BPF和eBPF概念BPF原是BerkeleyPacketFilter（伯克利数据包过滤器）的缩写，1992诞生，用于网络包过滤。

整个第二章从编写一个BPF程序开始，先介绍BPF程序编译执行的过程，大致分C语言编写，LLVM编译成BPF字节码，在通过bfp调用变成BPF字节码，通过BPF验证器后使用JIT编译为机器码并执行。

Linux内核观测技术BPhttps://www.lijiaocn.com/%E6%8A%80%E5%B7%A7/2019/02/25/ebpf-introduction-1.html目录目录说明BPFeBPF带来的新变化eBPF使用升级内核eBPF代码示例eBPF代码编译装载使用BCC简化eBPF应用开发过程BCC安装BCC收集的eBPF应用参考说明eBPF是kernel3.15中引入的全新设计

我来自Isovalent（Cilium背后的公司），是内核eBPF的维护者之一（co-maintainer）。今天给大家分享一些Cilium（1.9）和eBPF的最新进展。纠正一些关于eBPF的错误理解首先我想纠正一些关于eBPF的错误理解与不实描述。eBPF是什么？通用目的引擎、最小指令集架构之前我们讨论eBPF时大都集中在网络（networking）和跟踪（tracing）领域，最近可能将范围

目录1bpftrace常用命令1.1列出bpftrace相关命令的list1.2bpftrace-e是执行1.3查看参数-lv2bpftrace可以用到的变量3高级3.1内置函数3.2文件系统3.3内核内存栈3.4Malloc调用统计3.5系统调用brk的统计3.6脚本调用4应用5怎么串联起来呢bpftrace总的来说是对线上项目的系统调用的函数的观测，因为这时已经不能往函数里面加log了。相关的

背景了解bpf的童鞋都应该知道，bpf程序是可以attach到不同的probe点上来做内核级别的trace，那么对于刚入门的人来说，如何来编写一个初级的bpf程序呢？这就是本篇博文想要介绍的内容。

目录一、eBPF简介二、快速实现BPF程序三、使用bpf映射一、eBPF简介eBPF是从BPF(BerkeleyPacketFilter)技术扩展而来的eBPF系统启动后就一直运行在那里，它需要事件触发后才会执行

0x1:技术背景bpf：BPF的全称是BerkeleyPacketFilter，是一个用于过滤(filter)网络报文(packet)的架构。

第一步：使用C开发一个eBPF程序新建一个hello.c文件，并输入下面的内容：//ebpf程序inthello_world(void*ctx){bpf_trace_printk("Hello,World

/bpf/bpft

image.png译者写在开头在我的上一篇文章：[email protected]中，我翻译了他与Intel的故事。这次，我们时光倒流一下，说说前传：BrendanGregg与Netflix的故事。我写博客的出发点是想把自己所学所思的东西都记录下来。纯理性技术是一方面，对现世的思考也是一方面。本来想做个平凡的人，最近却一不小心变为平烦人（平庸且很多烦恼的人）。没法，生活总要继续，深度的技术学习和写

bpfSystemCall[bpf(2)-Linuxmanualpage(man7.org)](https://man7.org/linux/man-pages/man2/bpf.2.html)[bpf-helpers

三，DEFINE_BPF_PROG宏从宏的字面意义上，我们可以看到，该宏定义了处理kernel内核事件被触发后的handler函数。这部分后面照葫芦画瓢写HelloWorldDemo的时候还会介绍。

概述Linux内核在网络堆栈中支持挂载BPFHook，可用于运行BPF程序。Cilium数据路径使用这些钩子加载BPF程序，组合使用并创建高级别的网络结构。下面是Cilium使用的钩子列表和简要说明。

kernel/bpf：该目录包含eBPF子系统的核心代码，包括eBPF虚拟机和相关数据结构的实现，还有与eBPF程序加载和验证相关的代码。

引入一组新的系统调用bpf()以及bpf_batch(),支持加载eBPF程序到内核中运行引入了用于内核态和用户态之间通信的bpf()函数族，使得用户空间应用程序可以与内核中运行的eBPF程序进行交互在

一BPF高级过滤条件高级filter官方地址常见需求案例汇总过滤的目的：获取最'精细'、'准确'的数据思考：抓取'更精确'的包?

MarkDown编辑语法第1章简要介绍了BPF性能工具使用到的各种技术。本章会更加深入地阐述这些技术，涵盖了历史、接口、内部运作方式，以及如何使用BPF工具。

,不要想当然①背景②抓包技术名词1、'捋顺'这些技术的'来龙去脉'甚至'八卦';2、这样我们在'后续课程'的'具体技术'学习时,就会多几分'亲近感',也多几分'底气'3、关键字：'tcpdump'、'BPF

我继续看bpfloader是如何读取和处理bpf程序的。

从它的全称“扩展的伯克利数据包过滤器(ExtendedBerkeleyPacketFilter)”来看，它是一种数据包过滤技术，是从BPF(BerkeleyPacketFilter)技术扩展而来的。

的文章-知乎https://zhuanlan.zhihu.com/p/626514905讲的很好ebpf内核函数APIhttps://www.man7.org/linux/man-pages/man7/bpf-helpers

性能观察工具静态性能工具性能压测工具性能调优工具sar工具perf-tools工具追踪工具BPF性能工具

再复习一下大致的步骤：首先，确认内核包含如下编译选项：CONFIG_BPF=yCONFIG_BPF_SYSCALL=y#[optional,fortcfilters]CONFIG_NET_CLS_BPF

eBPF的概念源自于BerkeleyPacketFilter（BPF），后者是由贝尔实验室开发的

"Encrypt":"NIszaqFPos1vd0pFqKlB42Np5itPxaNH\/\/FDsRnlBfgL4lcVxjXii6uy4vvjOHua8te65PNyvmgr\nsfbgnEFk0BpF348Oxut0hmBIae1HKWHHg0i5lnN3OB

来自【分布式实验室】近两年BPF技术跃然成为了一项热门技术，在刚刚结束的KubeCon2020Europe会议上有7个关于BPF的技术分享，而在KubeCon2020China会议上也已有了3个关于BPF

转自：https://www.sohu.com/a/418582768_198222近两年BPF技术跃然成为了一项热门技术，在刚刚结束的KubeCon2020Europe会议上有7个关于BPF的技术分享

要获取关于eBPF中的进程信息，可以使用以下函数:bpf_get_current_pid_tgid()、bpf_get_current_uid_gid()、bpf_get_current_comm(char

1.1BPF和eBPF是什么proben.探针，探头在生产环境中可以立刻部署BPF跟踪程序，不需要重启系统，也不需要以特殊方式重启应用软件。直接在生产环境中进行现场直播。

前言什么是BPF？为什么需要BPF性能工具？或BPF工具与其他工具的不可替代优点？BPF工具如何使用？

注意：BPF依赖高版本的Linux内核。建议OS内核版本>=4.1(建议使用4.9或者更高版本的内核)还需要启用某些内核配置选项。现在，在许多发行版中默认启用了这些选项，因此您通常不需要更改它们。

第1章引言11.1BPF和eBPF是什么11.2跟踪、嗅探、采样、剖析和可观测性分别是什么21.3BCC、bpftrace和IOVisor31.4初识BCC：快速上手41.5BPF跟踪的能见度71.6动态插桩

《systemperformance:EnterpriseandtheCloud》&《BPFPerformanceTools》，Linux性能分析大神BrendanGregg写的两本书，都是Linux性能调优的经典之作。前者侧重讲述分析策略，方法论以及一些常用工具，后者侧重介绍bcc/bpftrace工具，列举大量跟踪命令及分析脚本。两本书的结构很类似，可以分章节对比阅读，能够对系统各模块的性能分

Tracing（跟踪、追踪）Tracing是基于事件的记录——这些BPF工具使用的仪器类型。你可能已经使用了一些专用跟踪工具，例

structpcap_pkthdr{structtimevalts;/*timestamp*/bpf_u_int32caplen;/*lengthofportionpresent*/bpf_u_int32len

本章介绍了一些关键术语，概述了相关技术，并演示了一些BPF性能工具。这些技术将在以下章节中进行更详细的阐明。1.1BPF和eBPF是什么？

Ubuntu18.04构建BPFC编程环境1.下载内核源码下载的内核版本与Ubuntu18.04的内核版本一致。首先查看当前内核版本：uname-r。root@ubuntu:~#uname-r5.4.0-65-generic然后在内核源码镜像站点下载对应版本的内核源码包，解压在/usr/src目录下。root@ubuntu:/usr/src#lslinux-5.42.安装依赖root@ubuntu

Ubuntu18.04.2LTS环境下gitclonehttps://github.com/bpftools/linux-observability-with-bpf.git进入linux-observability-with-bpf

1.history信息一次成功编译bpf后执行history得到的信息：yingzhi@yingzhi-Host:~/ex/ex_kernel/linux-5.4$history1ls2mkdirex3cdex4mkdirex_kernel5ls

基础操作1.调整界面大小2.设置显示列1）添加显示列2）隐藏显示列3）删除显示列3.设置时间4.标记数据包5.导出数据包1）导出单个数据包2）导出多个数据包6.开启混杂模式六、过滤器操作1.抓包过滤器1）BPF

加载器在Andoroidinit启动/system/etc/bpf/下的所有eBPF程序，ebpf程序在完成加载后，内核ebpf程序进行verify和attach，顺利的话，最终，ebpf程序会被hook