bpf - 実際の命令数よりも大きい「プログラムが大きすぎる」しきい値

Question

私は実稼働用の BPF エージェントをいくつか作成しましたが、検証者を満足させて次に進むことができるまで、私のアプローチは非常に反復的です。また限界に来ました。

&&これは、条件が 1 つ少ない場合に機能し、それ以外の場合は機能しないプログラムです。紛らわしい部分は、警告がそれ103 insnsがより大きいことを意味することですat most 4096 insns。これがどのように組み合わされているかについて、明らかに私が誤解しているものがあります。

私の最終的な目標は、プロセスの環境に基づいてログを記録することです。そのため、別のアプローチを歓迎します。:)

エラー:

$ sudo python foo.py
bpf: Argument list too long. Program  too large (103 insns), at most 4096 insns

Failed to load BPF program b'tracepoint__sched__sched_process_exec': Argument list too long

BPF ソース:

#include <linux/mm_types.h>
#include <linux/sched.h>
#include <linux/version.h>

int tracepoint__sched__sched_process_exec(
  struct tracepoint__sched__sched_process_exec* args
) {
  struct task_struct* task = (typeof(task))bpf_get_current_task();

  const struct mm_struct* mm = task->mm;

  unsigned long env_start = mm->env_start;
  unsigned long env_end = mm->env_end;

  // Read up to 512 environment variables -- only way I could find to "limit"
  // the loop to satisfy the verifier.
  char var[12];
  for (int n = 0; n < 512; n++) {
    int result = bpf_probe_read_str(&var, sizeof var, (void*)env_start);
    if (result <= 0) {
      break;
    }
    env_start += result;
    if (
      var[0] == 'H' &&
      var[1] == 'I' &&
      var[2] == 'S' &&
      var[3] == 'T' &&
      var[4] == 'S' &&
      var[5] == 'I' &&
      var[6] == 'Z' &&
      var[7] == 'E'
    ) {
      bpf_trace_printk("Got it: %s\n", var);
      break;
    }
  }

  return 0;
}

を再生するための基本的なローダ プログラム:

#!/usr/bin/env python3

import sys

from bcc import BPF


if __name__ == '__main__':
    source = open("./foo.c").read()
    try:
        BPF(text=source.encode("utf-8")).trace_print()
    except Exception as e:
        error = str(e)
        sys.exit(error)