所以我想要描述我的应用程序,我特别想要记录从程序开始的时间,当程序内部调用的每个函数(在DLL中的ingnoring函数)被输入和退出时,即我想要一个简单的表看起来像这个:
THREAD_ID FUNCTION_ADDRESS TIME EVENT_TYPE
5520 0xFF435360 0 ENTERED
5520 0xFF435ED3 25 ENTERED
5520 0xFF433550 40 ENTERED
5520 0xFF433550 50 EXITED
5520 0xFF433550 60 ENTERED
5520 0xFF433550 70 EXITED
5520 0xFF435ED3 82 EXITED
5520 0xFF435360 90 EXITED
对于看起来像这样忽略编译器优化的程序:
void test1(void)
{
int a = 0;
++a;
}
void test(void)
{
test1();
test1();
}
void main(void)
{
test();
}
我找不到任何现成的解决方案,我可以找到的最近的是微软VSPerfReport,但它只输出在进入和退出时每个功能花了多长时间.
所以我开始研究用一个简单的函数挂钩我的所有函数,这个函数生成一个缓冲区,我可以从中生成上面的表.为了做到这一点,我只想创建一个在main的开头调用的函数,它可以通过整个exe修改CALL指令来调用我的钩子函数.
像MinHook等那样的库对我来说似乎都有点OTT,可能不会工作,因为它是一个x64应用程序而且我不是试图挂钩DLL函数.
所以我想只修改每个CALL指令中的JMP指令,即这个程序:
void main(void)
{
...asm prologue
test();
002375C9 call test (235037h)
}
...asm epilogue
这里的调用是一个JMP表:
@ILT+40(__set_errno):
0023502D jmp _set_errno (243D80h)
@ILT+45(___crtGetEnvironmentStringsA):
00235032 jmp __crtGetEnvironmentStringsA (239B10h)
test:
00235037 jmp test (237170h)
@ILT+55(_wcstoul):
0023503C jmp wcstoul (27C5D0h)
@ILT+60(__vsnprintf_s_l):
我想通过这个表并将与应用程序的.exe中的函数相关的所有JMP重新路由到包含定时代码的钩子函数,然后返回到调用函数.
那么ILT代表什么呢?我假设有一些Lookup Table,我将如何抓住它?
这是否有可能我听说过IAT挂钩,但我认为只有在挂钩DLL时才会这样.在这里我也忽略了退出,虽然另一个JMP代替RET指令可能有帮助吗?
谢谢你的帮助
最佳答案 你看过
Googles profiling tools吗?您可能会发现修改它更容易,而不是自己制作.它确实执行代码插入以执行其分析,因此它最小化,它们的注入框架对您有益.
但是,对于这样的事情,你通常想避免计时开销,所以我建议按地址跟踪,然后在完成分析时,将地址转换为符号名称.挂钩本身也是一项艰巨的任务,我建议制作一个多功能的包装器,它不会改变功能入口或出口,而是重定向呼叫站点.
So what does ILT stand for I’m assuming something Lookup Table and how would I go about getting hold of it?
导入查找表,如果您计划分析内部函数,它也不会有多大用处.掌握它需要了解平台模块格式(PE,ELF,MACH-O)的内部结构.