为什么`register_kprobe` (k探针)报告的符号地址与/proc/kallsyms中的符号地址不匹配？

Question

我想使用kprobes_register (k探测)查找Linux内核符号的地址。

在为flush_tlb_all安装了k探头之后，我使用sudo dmesg查找了地址：

[1055.285848] Planted kprobe at 000000005b0a34fa

相反，/proc/kallsyms为同一符号报告另一个地址：

ffffffff8ea68a80 T flush_tlb_all

为什么我会看到flush_tlb_all的两个不同的地址？

http://users.telenet.be/pynckels/2020-2-Linux-kernel-unexported-kallsyms-functions.pdf

#include <linux/kernel.h>
#include <linux/module.h>
#include <linux/kprobes.h>

#define MAX_SYMBOL_LEN  64
static char symbol[MAX_SYMBOL_LEN] = "flush_tlb_all";
module_param_string(symbol, symbol, sizeof(symbol), 0644);

/* For each probe you need to allocate a kprobe structure */
static struct kprobe kp = {
   .symbol_name = symbol,
};

static int __init kprobe_init(void)
{
   int ret;

   ret = register_kprobe(&kp);
   if (ret < 0) {
      pr_err("register_kprobe failed, returned %d\n", ret);
      return ret;
   }
   pr_info("Planted kprobe at %p\n", kp.addr);
   return 0;
}

static void __exit kprobe_exit(void)
{
   unregister_kprobe(&kp);
   pr_info("kprobe at %p unregistered\n", kp.addr);
}

module_init(kprobe_init);
module_exit(kprobe_exit);
MODULE_LICENSE("GPL");

Answer 1

您的模块没有报告探测点的地址，但是它的散列：%p输出散列地址

防止泄漏有关内核内存布局的信息

若要查看实际地址，请使用%pK或%px。