基于探针的动态插桩

最新推荐文章于 2025-10-05 15:01:30 发布

原创

最新推荐文章于 2025-10-05 15:01:30 发布 · 2.5k 阅读

6 ·

CC 4.0 BY-SA版权

文章标签：

#table #destructor #struct #constructor #insert #list

本文介绍了基于探针的动态插桩技术，详细阐述了其实现原理，包括函数入口保存、跳转指令插入、探针函数执行以及如何恢复原函数。通过示例展示了如何在Linux环境下利用LD_PRELOAD特性进行插桩，并提供了插入和删除探针的函数。通过测试程序展示了插桩效果，探针函数在原函数执行前被调用，删除探针后恢复原函数行为。

由于基于探针的动态插桩，通常只能在函数边界插入代码，难以对程序的指令流进行很好的分析，所以平时用的比较少。以前使用微软研究院的detour的API觉得它很神奇，最近看了下它的原理还是很简单：基于简单动态重写函数的开始几个字节，然后跳转到特定函数。呵呵，但是要做好还是不容易的。闲来无事写了一个很粗糙的实现。

基本原理就是：（1）保存函数的入口的几个字节，并插入一天跳回函数的jmp指令（这一块代码称为trampaline）。这里的前几个字节不是个定数是有原因的，实际上我们只需要前5字节来保存一条JMP指令，但入口的5个字节可能并不是几条完整的指令，因此若只保存5个字节就会截断指令。如下面的代码所示，test函数入口的第5个字节包含于sub，保存前6个字节就可以避免截断sub指令。

080483e4 <test>: 80483e4: 55 push %ebp 80483e5: 89 e5 mov %esp,%ebp 80483e7: 83 ec 18 sub $0x18,%esp 80483ea: c7 04 24 e0 84 04 08 movl $0x80484e0,(%esp)

（2）修改函数入口的5个字节为jmp xxx指令，其中的xxx就是探针函数到当前函数的偏移量。跳往探针函数并执行它。

（3）执行trampaline代码，执行原函数。

（3）恢复原函数的入口。

基本数据结构：

/*参数类型，包含的字节数，例如INT8表示数据大小为一个字节*/ typedef enum arg_type { NULL_TYPE, INT8, INT16, INT32, INT64 } arg_type_t; /*探针函数