tiny_tracer

Ein Pin-Tool zum Verfolgen von:

• API-Aufrufen, einschließlich Ein- und Ausgabe ausgewählter Funktionen
• definierten lokalen Funktionen und Funktionen aus statisch gelinkten Bibliotheken
• ausgewählten Instruktionen: RDTSC, CPUID, INT
• Inline-Systemaufrufen, einschließlich Parametern ausgewählter Syscalls
• Übergängen zwischen Abschnitten des getraceden Moduls (hilfreich beim Auffinden des OEP eines gepackten Moduls)
• ausgeführten Instruktionen in definierten Codefragmenten

Umgeht einige der bekannten Anti-Debug- und Anti-VM-Techniken

Erzeugt einen Bericht im .tag-Format (der in andere Analysewerkzeuge geladen werden kann):

RVA;getracedes Ereignis

z. B.

345c2;section: .text
58069;called: C:\Windows\SysWOW64\kernel32.dll.IsProcessorFeaturePresent
3976d;called: C:\Windows\SysWOW64\kernel32.dll.LoadLibraryExW
3983c;called: C:\Windows\SysWOW64\kernel32.dll.GetProcAddress
3999d;called: C:\Windows\SysWOW64\KernelBase.dll.InitializeCriticalSectionEx
398ac;called: C:\Windows\SysWOW64\KernelBase.dll.FlsAlloc
3995d;called: C:\Windows\SysWOW64\KernelBase.dll.FlsSetValue
49275;called: C:\Windows\SysWOW64\kernel32.dll.LoadLibraryExW
4934b;called: C:\Windows\SysWOW64\kernel32.dll.GetProcAddress
...

🚧 Wie man es baut

Es wurde mit Intel Pin 4.2 getestet.

Du kannst es unter Windows oder unter Linux bauen. Ausführliche Beschreibungen findest du hier.

Wenn du Probleme beim Bauen des Projekts unter Windows hast, kannst du die Test-Builds vom AppVeyor-Server verwenden. Wähle die Plattform und dann „Artifacts“. Überprüfe die „Console“-Ausgabe, um zu sehen, welche Version von Pin benötigt wird. Folge dann den Installationsanweisungen.

⚙ Verwendung

📖 Details zur Verwendung findest du im Wiki des Projekts.

🛠 Hilfsprogramme

Zur automatischen Generierung der params.txt für das Tracing von API-Argumenten probiere IAT-Tracer von YoavLevi

WARNUNGEN

• Damit Pin korrekt funktioniert, muss das Kernel-Debugging DEAKTIVIERT sein.
• Im Verzeichnis install32_64 findest du ein Dienstprogramm, das prüft, ob der Kernel-Debugger deaktiviert ist (kdb_check.exe, Quelle), und das von den .bat-Skripten von Tiny Tracer verwendet wird. Dieses Dienstprogramm wird manchmal von Windows Defender als Malware erkannt (ein bekanntes falsches Positiv). Falls dieses Problem auftritt, musst du möglicherweise das Installationsverzeichnis von Windows Defender-Scans ausschließen.
• Seit Version 3.20 hat Pin die Unterstützung für alte Windows-Versionen eingestellt. Wenn du das Tool unter Windows < 8 verwenden musst, folge dem Legacy-Build.

🤔 Fragen? Ideen? Tritt den Diskussionen bei!