每次运行 SystemTap 脚本时，都会启动一个 SystemTap 会话。在允许脚本运行之前，会对脚本进行多次处理。然后，脚本编译为内核模块并加载。如果脚本之前已执行过，并且没有系统组件发生更改（例如，不同的编译器或内核版本、库路径或脚本内容），SystemTap 不会重新编译脚本。相反，它使用存储在 SystemTap 缓存 (~/.systemtap) 中的 *.c 和 *.ko 数据。

当 tap 完成运行时，模块将被卸载。有关示例，请参阅 第 4.2 节，“安装和设置” 中的测试运行及其相应的说明。

由于 SystemTap 需要有关内核的信息，因此必须安装一些额外的与内核相关的软件包。对于您想要使用 SystemTap 探测的每个内核，您需要安装以下软件包的集合。此集合应与内核版本和风味完全匹配（如下面的概述中指示的 *）。

重要：包含调试信息的软件包的存储库

如果你已订阅系统的在线更新，你可以在 openSUSE Leap 15.6 相关的 *-Debuginfo-Updates 在线安装存储库中找到“debuginfo”包。使用 YaST 启用存储库。

对于经典的 SystemTap 设置，请安装以下软件包（使用 YaST 或 zypper）。

要访问 man 页面和有用的各种用于不同目的的 SystemTap 脚本示例集合，请另外安装 systemtap-docs 包。

要检查机器上是否正确安装了所有软件包以及 SystemTap 是否已准备好使用，请以 root 身份执行以下命令。

# stap -v -e 'probe vfs.read {printf("read performed\n"); exit()}'

它通过运行脚本并返回输出来探测当前使用的内核。如果输出类似于以下内容，则 SystemTap 已成功部署并已准备好使用

Pass 1: parsed user script and 59 library script(s) in 80usr/0sys/214real ms.
Pass 2: analyzed script: 1 probe(s), 11 function(s), 2 embed(s), 1 global(s) in
 140usr/20sys/412real ms.
Pass 3: translated to C into
 "/tmp/stapDwEk76/stap_1856e21ea1c246da85ad8c66b4338349_4970.c" in 160usr/0sys/408real ms.
Pass 4: compiled C into "stap_1856e21ea1c246da85ad8c66b4338349_4970.ko" in
 2030usr/360sys/10182real ms.
Pass 5: starting run.
 read performed
Pass 5: run completed in 10usr/20sys/257real ms.

如果测试期间出现任何错误消息，请检查输出中有关任何缺失软件包的提示，并确保正确安装了这些软件包。可能还需要重新启动并加载适当的内核。

SystemTap 脚本由以下两个组件组成

事件及其对应的处理程序统称为 探测。SystemTap 事件也称为 探测点。探测的处理程序也称为 探测体。

可以在 SystemTap 脚本中的不同样式中插入注释：使用 #、/* */ 或 // 作为标记。

probe EVENT {STATEMENTS}

probe1 begin2
{3
   printf4 ("hello world\n")5
   exit ()6
}7

probe timer.s(4)
{
   printf("hello world\n")
}

function FUNCTION_NAME(ARGUMENTS) {STATEMENTS}
probe EVENT {FUNCTION_NAME(ARGUMENTS)}

printf ("1%s2(%d3) open\n4", execname(), pid())

[...]
vmware-guestd(2206) open
held(2360) open
[...]

foo = gettimeofday( )

global count_jiffies, count_ms
probe timer.jiffies(100) { count_jiffies ++ }
probe timer.ms(100) { count_ms ++ }
probe timer.ms(12345)
{
  hz=(1000*count_jiffies) / count_ms
  printf ("jiffies:ms ratio %d:%d => CONFIG_HZ=%d\n",
    count_jiffies, count_ms, hz)
  exit ()
  }

如果您已安装 systemtap-docs 包，您可以在 /usr/share/doc/packages/systemtap/examples 中找到几个有用的 SystemTap 示例脚本。

本节更详细地描述了一个相当简单的示例脚本：/usr/share/doc/packages/systemtap/examples/network/tcp_connections.stp。

#! /usr/bin/env stap

probe begin {
  printf("%6s %16s %6s %6s %16s\n",
         "UID", "CMD", "PID", "PORT", "IP_SOURCE")
}

probe kernel.function("tcp_accept").return?,
      kernel.function("inet_csk_accept").return? {
  sock = $return
  if (sock != 0)
    printf("%6d %16s %6d %6d %16s\n", uid(), execname(), pid(),
           inet_get_local_port(sock), inet_get_ip_source(sock))
}

此 SystemTap 脚本监控传入的 TCP 连接，并帮助识别计算机上未经授权或不需要的网络访问请求。它显示以下信息，用于计算机接受的每个新的传入 TCP 连接

要运行该脚本，请执行

stap /usr/share/doc/packages/systemtap/examples/network/tcp_connections.stp

并关注屏幕上的输出。要手动停止该脚本，请按 Ctrl–C。

对于调试用户空间应用程序（就像 DTrace 可以做的那样），openSUSE Leap 15.6 支持使用 SystemTap 进行用户空间探测。可以在任何用户空间应用程序中插入自定义探测点。因此，SystemTap 允许您使用内核空间和用户空间探测来调试整个系统的行为。

要获得所需的 utrace 基础设施和用户空间探测的 uprobes 内核模块，您需要安装 kernel-trace 包，除了在 第 4.2 节，“安装和设置” 中列出的包之外。

utrace 实现了一个用于控制用户空间任务的框架。它提供了一个接口，可以被各种追踪 “引擎” 使用，这些引擎以可加载的内核模块形式实现。这些引擎会为特定事件注册回调函数，然后附加到他们想要追踪的线程。由于回调函数是从内核中的 “安全” 位置调用的，这允许函数执行各种处理操作。可以通过 utrace 观察多个事件。例如，你可以观察系统调用进入和退出、fork() 以及信号发送到任务等事件。关于 utrace 基础设施的更多细节，请访问 https://sourceware.org/systemtap/wiki/utrace。

SystemTap 包含支持探测用户空间进程中函数的进入和返回、探测用户空间代码中的预定义标记以及监控用户进程事件的功能。

要检查当前运行的内核是否提供了所需的 utrace 支持，请使用以下命令

> sudo grep CONFIG_UTRACE /boot/config-`uname -r`

有关用户空间探测的更多细节，请参考 https://sourceware.org/systemtap/SystemTap_Beginners_Guide/userspace-probing.html。

本章仅提供 SystemTap 的简要概述。有关 SystemTap 的更多信息，请参考以下链接

您还可以从安装系统的 /usr/share/doc/packages/systemtap 目录中找到 SystemTap 语言参考和 SystemTap 教程。示例 SystemTap 脚本可从 example 子目录获得。