Gum

Biblioteca de instrumentación e introspección multiplataforma escrita en C.

Esta biblioteca es consumida por frida-core a través de sus enlaces de JavaScript, GumJS.

Proporciona:

• Núcleo de instrumentación

  • Enganche en línea: Interceptor
  • Rastreo de código sigiloso: Stalker
  • Monitoreo de memoria: MemoryAccessMonitor

• Introspección multiplataforma

  • Hilos en ejecución y otro estado del proceso
  • Módulos cargados, incluyendo sus:
    • Importaciones
    • Exportaciones
    • Símbolos
  • Escaneo de memoria
  • Búsquedas de DebugSymbol
  • Implementaciones de Backtracer
  • Estado del Kernel (solo iOS por ahora)

• Enlazador dinámico fuera de proceso para i/macOS: Gum.Darwin.Mapper

• Generación de código:

  • X86Writer
  • ArmWriter
  • ThumbWriter
  • Arm64Writer
  • MipsWriter

• Reubicación de código:

  • X86Relocator
  • ArmRelocator
  • ThumbRelocator
  • Arm64Relocator
  • MipsRelocator

• Bibliotecas auxiliares para desarrolladores que necesitan un control altamente granular:

  • Seguimiento de asignación de Heap y detección de fugas.
  • Profiling con callback de inspector de peor caso.

Instrucciones de compilación

Las compilaciones se pueden configurar con el script configure. configure.bat está disponible para usuarios de Windows.

./configure --enable-gumpp --enable-gumjs --enable-tests
make

Ejecute configure con --help para ver todas las opciones.

Pruebas

Las pruebas se compilan con make test y se ejecutan con ./build/tests/gum-tests. Puede especificar una ruta de prueba con -p para ejecutar una prueba específica o un grupo de pruebas.

Las rutas de prueba siguen el patrón /<Area>/<Module>/<test_name> donde el área/módulo provienen de las macros TESTENTRY en los archivos de fixture (por ejemplo, TESTENTRY_WITH_FIXTURE("Core/Interceptor", ...)).

./build/tests/gum-tests
./build/tests/gum-tests -p /Core/Interceptor/attach_one

Binarios

Descargue un devkit para enlazar estáticamente en sus propios proyectos desde la página de releases de Frida.