引言
eBPF（Extended Berkeley Packet Filter）已经成为 Linux 内核中最活跃的技术领域之一。从网络过滤到性能监控，从安全审计到可观测性，eBPF 无处不在。然而，运行在内核态的 eBPF 程序必须经过内核验证器的严格检查，才能被加载执行。本文将深入剖析 eBPF 验证器的工作原理，帮助开发者理解为什么某些代码无法通过验证器，以及如何编写安全、高效的 eBPF 程序。
1. eBPF 指令集抽象
eBPF 使用精简的 64 位 RISC 指令集，与 x86/ARM 等硬件架构截然不同。指令编码固定为 64 位宽，主要类别包括：
| 类别 | 说明 | 典型指令 |
|---|---|---|
| 算术/逻辑 | 寄存器间或立即数运算 | ADD, SUB, MUL, AND, OR, LSH |
| 加载/存储 | 内存与寄存器间数据传输 | LDDW, LDX, ST, STX |
| 跳转 | 控制流转移 | JA, JEQ, JNE, JLT, JGT, CALL, EXIT |
| 辅助函数 | 调用内核导出的 helper | CALL(bpf_map_lookup_elem等) |
验证器首先将 eBPF 字节码解析为指令序列，构建内部表示（struct bpf_insn），然后进行后续的静态分析。
2. 控制流图（CFG）构建与合法性检查
验证器遍历指令序列，构建控制流图（Control Flow Graph, CFG）。eBPF 程序的关键约束包括：
- 无向后跳转：不允许循环（back edge），确保程序必定终止
- 单入口单出口：程序必须以 EXIT 指令结束
- 跳转目标合法性：跳转只能指向指令序列中的有效偏移
- 无不可达代码：所有基本块必须从入口可达
验证器使用深度优先搜索（DFS）遍历 CFG，标记可达节点，检测向后跳转。任何导致不可达代码或潜在循环的指令序列都会被拒绝。
3. 寄存器状态追踪（Register State Tracking）
这是验证器最核心的机制。eBPF 只有 11 个 64 位寄存器（R0-R10），验证器对每一类指令精确追踪每个寄存器的状态，包括：
- 类型（Type）：未初始化（NOT_INIT）、标量（SCALAR_VALUE）、指针（PTR_TO_*）、整数等
- 值范围（Value Range）：最小值、最大值、无符号范围
- 指向类型：指向 map、栈、包数据、per-CPU 数据等
- 溢出/符号位：追踪值的符号扩展和溢出状态
3.1 标量追踪示例
考虑以下 eBPF 代码片段：
r1 = 10
发表评论 取消回复