“程序太大”閾值大於實際指令數

Question

我已經編寫了幾個生產 BPF 代理，但我的方法是非常迭代的，直到我取悅驗證者並可以繼續前進。 我又一次達到了極限。

這是一個程序，如果我的&&條件少了一個，它就可以工作——否則就會中斷。 令人困惑的部分是警告暗示103 insns大於at most 4096 insns 。 顯然，我對這一切是如何串在一起的有一些誤解。

我的最終目標是基於進程環境進行日志記錄——因此歡迎使用替代方法。 :)

錯誤：

$ sudo python foo.py
bpf: Argument list too long. Program  too large (103 insns), at most 4096 insns

Failed to load BPF program b'tracepoint__sched__sched_process_exec': Argument list too long

BPF 來源：

#include <linux/mm_types.h>
#include <linux/sched.h>
#include <linux/version.h>

int tracepoint__sched__sched_process_exec(
  struct tracepoint__sched__sched_process_exec* args
) {
  struct task_struct* task = (typeof(task))bpf_get_current_task();

  const struct mm_struct* mm = task->mm;

  unsigned long env_start = mm->env_start;
  unsigned long env_end = mm->env_end;

  // Read up to 512 environment variables -- only way I could find to "limit"
  // the loop to satisfy the verifier.
  char var[12];
  for (int n = 0; n < 512; n++) {
    int result = bpf_probe_read_str(&var, sizeof var, (void*)env_start);
    if (result <= 0) {
      break;
    }
    env_start += result;
    if (
      var[0] == 'H' &&
      var[1] == 'I' &&
      var[2] == 'S' &&
      var[3] == 'T' &&
      var[4] == 'S' &&
      var[5] == 'I' &&
      var[6] == 'Z' &&
      var[7] == 'E'
    ) {
      bpf_trace_printk("Got it: %s\n", var);
      break;
    }
  }

  return 0;
}

用於復制的基本加載程序：

#!/usr/bin/env python3

import sys

from bcc import BPF


if __name__ == '__main__':
    source = open("./foo.c").read()
    try:
        BPF(text=source.encode("utf-8")).trace_print()
    except Exception as e:
        error = str(e)
        sys.exit(error)

Answer 1

bpf：參數列表太長。 程序太大（103個insns），最多4096個insns

查看錯誤消息，我的猜測是您的程序有 103 條指令，它被拒絕了，因為它太復雜了。 也就是說，驗證者在分析所有路徑上的所有指令之前就放棄了。

在具有特權用戶的 Linux 5.15 上，驗證者在讀取 100 萬條指令（復雜性限制）后放棄。 由於它必須分析通過程序的所有路徑，因此具有少量指令的程序可能具有非常高的復雜性。 當您有循環和許多條件時尤其如此，就像您的情況一樣。

---

為什么錯誤信息令人困惑？ 此錯誤消息來自 libbpf.c ：

if (ret < 0 && errno == E2BIG) {
  fprintf(stderr,
          "bpf: %s. Program %s too large (%u insns), at most %d insns\n\n",
          strerror(errno), attr->name, insns_cnt, BPF_MAXINSNS);
  return -1;
}

由於bpf(2)系統調用在程序太大和復雜度太高時都返回E2BIG ，所以 libbpf 會在兩種情況下打印相同的錯誤消息，始終at most 4096 instructions 。 我相信上游會接受補丁來改進該錯誤消息。