C挂钩我自己的程序功能

2023年4月27日 156次阅读

所以我想要描述我的应用程序,我特别想要记录从程序开始的时间,当程序内部调用的每个函数(在DLL中的ingnoring函数)被输入和退出时,即我想要一个简单的表看起来像这个：

THREAD_ID FUNCTION_ADDRESS TIME EVENT_TYPE
5520      0xFF435360       0    ENTERED
5520      0xFF435ED3       25   ENTERED
5520      0xFF433550       40   ENTERED
5520      0xFF433550       50   EXITED
5520      0xFF433550       60   ENTERED
5520      0xFF433550       70   EXITED
5520      0xFF435ED3       82   EXITED
5520      0xFF435360       90   EXITED

对于看起来像这样忽略编译器优化的程序：

void test1(void)
{
   int a = 0;
   ++a;
}

void test(void)
{
    test1();
    test1();
}

void main(void)
{
    test();
}

我找不到任何现成的解决方案,我可以找到的最近的是微软VSPerfReport,但它只输出在进入和退出时每个功能花了多长时间.

所以我开始研究用一个简单的函数挂钩我的所有函数,这个函数生成一个缓冲区,我可以从中生成上面的表.为了做到这一点,我只想创建一个在main的开头调用的函数,它可以通过整个exe修改CALL指令来调用我的钩子函数.

像MinHook等那样的库对我来说似乎都有点OTT,可能不会工作,因为它是一个x64应用程序而且我不是试图挂钩DLL函数.

所以我想只修改每个CALL指令中的JMP指令,即这个程序：

void main(void)
{
...asm prologue 
    test();
002375C9  call        test (235037h) 
}
...asm epilogue

这里的调用是一个JMP表：

@ILT+40(__set_errno):
0023502D  jmp         _set_errno (243D80h)  
@ILT+45(___crtGetEnvironmentStringsA):
00235032  jmp         __crtGetEnvironmentStringsA (239B10h)  
test:
00235037  jmp         test (237170h)  
@ILT+55(_wcstoul):
0023503C  jmp         wcstoul (27C5D0h)  
@ILT+60(__vsnprintf_s_l):

我想通过这个表并将与应用程序的.exe中的函数相关的所有JMP重新路由到包含定时代码的钩子函数,然后返回到调用函数.

那么ILT代表什么呢？我假设有一些Lookup Table,我将如何抓住它？

这是否有可能我听说过IAT挂钩,但我认为只有在挂钩DLL时才会这样.在这里我也忽略了退出,虽然另一个JMP代替RET指令可能有帮助吗？

谢谢你的帮助

最佳答案 你看过
Googles profiling tools吗？您可能会发现修改它更容易,而不是自己制作.它确实执行代码插入以执行其分析,因此它最小化,它们的注入框架对您有益.

但是,对于这样的事情,你通常想避免计时开销,所以我建议按地址跟踪,然后在完成分析时,将地址转换为符号名称.挂钩本身也是一项艰巨的任务,我建议制作一个多功能的包装器,它不会改变功能入口或出口,而是重定向呼叫站点.

So what does ILT stand for I’m assuming something Lookup Table and how would I go about getting hold of it?

导入查找表,如果您计划分析内部函数,它也不会有多大用处.掌握它需要了解平台模块格式(PE,ELF,MACH-O)的内部结构.

点赞