Linux 大部分数据流动，包括进程间通讯，socket…… 均通过文件描述符(fd) 读写实现。在 troubleshooting 时，如果可以偷看到 fd 的流量，那么很多问题可以加速证明/证伪。本文介绍一个老工具 peekfd ，可以在一定环境中完成这个任务。

通过分析 BCC 的基于 libbpf 的 TCP 连接延迟监视工具 tcpconnlat 实现，来了解一个经典 BPF 程序是如何加载，绑定，以及与内核互动的。

通过分析 libbpf 范例 libbpf-bootstrap 中的 uprobe 程序，来了解一个经典 BPF uprobe 程序是如何加载，绑定，以及与内核互动的。

通过分析 libbpf 范例 libbpf-bootstrap 中的 bootstrap 程序，来了解一个经典 BPF 程序是如何与内核互动的。

BPF 系统接口 与 libbpf 示例分析 - eBPF基础知识 Part2

为何要研究 ELF 格式？因为想深入点学习 eBPF ，充分利用它的特性，而非只利用它的名声，ELF 格式是跳不过的