聚合由 Windows 进程进行的 memory 访问集合的更简单方法？

Question

我将其作为个人项目进行，我想为这些数据制作可视化工具。 但第一步是获取数据。 我目前的计划是

1. 让我的程序调试目标进程逐步通过它
2. 每一步都记录目标进程中每个线程上下文的 EIP
3. 从上下文中构造指令使用的 memory 地址并存储它。

有没有更简单或内置的方法来做到这一点？

Answer 1

查看用于动态二进制检测的英特尔 PIN/为每个加载/存储指令运行挂钩。 英特尔引脚

它不是在调试器中实际单步执行（非常慢），而是执行二进制到二进制 JIT 来添加对钩子的调用。

https://software.intel.com/sites/landingpage/pintool/docs/81205/Pin/html/index.html

Answer 2

老实说，最好的方法可能是像 Peter 建议的那样使用仪器，具体取决于您的目标。 您是否曾经在调试器中运行过单步执行代码的脚本？ 即使是自动化的，它也非常慢。 我看到的唯一另一种选择是页面错误，这也会非常慢，但仍应该比单步快。 基本上，您使当前执行部分中的每个页面都无法访问。 执行代码之外的任何 RW 访问都将触发异常，您可以在其中记录详细信息并进行处理。 当然这有很多缺陷——你无法在当前页面中检测到 RW，它仍然会很慢，它可能会变得复杂，例如处理页面执行传输、多线程等。我有的最终可能的解决方案将有一个定时器中断来检查每个页面的 RW 访问。 这将非常快，虽然它不会提供特定的地址，但它会为您提供写入和读取的页面聚合。 如果 Windows 已经公开了该信息，我实际上并不完全确定我的头，而且我也不确定是否有可靠的方法来保证您的计时器会在 kernel 清除这些位之前被击中。