tiny_tracer

ट्रेसिंग के लिए एक Pin Tool:

• API कॉल्स, जिसमें शामिल हैं चयनित फंक्शनों के इनपुट और आउटपुट
• परिभाषित स्थानीय फंक्शन और स्टैटिकली लिंक्ड लाइब्रेरीज़ के फंक्शन
• चयनित निर्देश: RDTSC, CPUID, INT
• इनलाइन सिस्टम कॉल्स, जिसमें शामिल हैं चयनित syscalls के पैरामीटर
• ट्रेस किए जा रहे मॉड्यूल के सेक्शनों के बीच संक्रमण (पैक्ड मॉड्यूल का OEP खोजने में सहायक)
• परिभाषित कोड अंशों में निष्पादित निर्देश

कुछ ज्ञात anti-debug और anti-VM तकनीकों से बचता है

एक .tag प्रारूप में रिपोर्ट उत्पन्न करता है (जिसे अन्य विश्लेषण उपकरणों में लोड किया जा सकता है):

RVA;traced event

अर्थात:

345c2;section: .text
58069;called: C:\Windows\SysWOW64\kernel32.dll.IsProcessorFeaturePresent
3976d;called: C:\Windows\SysWOW64\kernel32.dll.LoadLibraryExW
3983c;called: C:\Windows\SysWOW64\kernel32.dll.GetProcAddress
3999d;called: C:\Windows\SysWOW64\KernelBase.dll.InitializeCriticalSectionEx
398ac;called: C:\Windows\SysWOW64\KernelBase.dll.FlsAlloc
3995d;called: C:\Windows\SysWOW64\KernelBase.dll.FlsSetValue
49275;called: C:\Windows\SysWOW64\kernel32.dll.LoadLibraryExW
4934b;called: C:\Windows\SysWOW64\kernel32.dll.GetProcAddress
...

🚧 कैसे बनाएं

इसे Intel Pin 4.2 के साथ परीक्षण किया गया था।

आप इसे Windows पर या Linux पर बना सकते हैं। विस्तृत विवरण यहाँ उपलब्ध हैं।

यदि Windows पर प्रोजेक्ट बनाने में कोई समस्या है, तो आप AppVeyor सर्वर से परीक्षण बिल्ड का उपयोग कर सकते हैं। प्लेटफ़ॉर्म चुनें, और फिर 'Artifacts' पर जाएँ। यह देखने के लिए 'Console' आउटपुट जाँचें कि उनका उपयोग करने के लिए Pin के किस संस्करण की आवश्यकता है। फिर, इंस्टॉलेशन निर्देशों का पालन करें।

⚙ उपयोग

📖 उपयोग के बारे में विवरण आप प्रोजेक्ट की विकी पर पाएंगे।

🛠 सहायक उपकरण

API आर्गुमेंट्स ट्रेसिंग के लिए params.txt के स्वचालित निर्माण हेतु, YoavLevi द्वारा IAT-Tracer आज़माएं।

चेतावनियाँ

• Pin को सही ढंग से काम करने के लिए, कर्नेल डिबगिंग को अक्षम होना चाहिए।
• install32_64 में आप एक उपयोगिता पा सकते हैं जो जांचती है कि कर्नेल डिबगर अक्षम है या नहीं (kdb_check.exe, स्रोत), और इसका उपयोग Tiny Tracer की .bat स्क्रिप्ट्स द्वारा किया जाता है। यह उपयोगिता कभी-कभी Windows Defender द्वारा मैलवेयर के रूप में चिह्नित की जाती है (यह एक ज्ञात झूठी सकारात्मकता है)। यदि आप इस समस्या का सामना करते हैं, तो आपको Windows Defender स्कैन से इंस्टॉलेशन निर्देशिका को बाहर करने की आवश्यकता हो सकती है।
• संस्करण 3.20 से Pin ने Windows के पुराने संस्करणों के लिए समर्थन छोड़ दिया है। यदि आप Windows < 8 पर उपकरण का उपयोग करना चाहते हैं, तो Legacy Build का पालन करें।

🤔 प्रश्न? विचार? चर्चा में शामिल हों!