tiny_tracer

トレーシングのための Pin ツール:

• API 呼び出し（選択された関数の入出力を含む）
• 定義されたローカル関数、静的リンクライブラリからの関数
• 選択された命令: RDTSC, CPUID, INT
• インラインシステムコール（選択されたシステムコールのパラメータを含む）
• トレース対象モジュールのセクション間の遷移（パックされたモジュールのOEPを見つけるのに役立ちます）
• 定義されたコードフラグメント内で実行された命令

既知のアンチデバッグおよびアンチVMテクニックの一部を回避します

.tag 形式のレポートを生成します（他の解析ツールに読み込むことができます）:

RVA;traced event

すなわち

345c2;section: .text
58069;called: C:\Windows\SysWOW64\kernel32.dll.IsProcessorFeaturePresent
3976d;called: C:\Windows\SysWOW64\kernel32.dll.LoadLibraryExW
3983c;called: C:\Windows\SysWOW64\kernel32.dll.GetProcAddress
3999d;called: C:\Windows\SysWOW64\KernelBase.dll.InitializeCriticalSectionEx
398ac;called: C:\Windows\SysWOW64\KernelBase.dll.FlsAlloc
3995d;called: C:\Windows\SysWOW64\KernelBase.dll.FlsSetValue
49275;called: C:\Windows\SysWOW64\kernel32.dll.LoadLibraryExW
4934b;called: C:\Windows\SysWOW64\kernel32.dll.GetProcAddress
...

🚧 ビルド方法

Intel Pin 4.2 でテストされています。

Windows 上 または Linux 上 でビルドできます。詳細な説明はこちらにあります。

Windows でのプロジェクトのビルドに問題がある場合は、AppVeyor サーバーからテストビルドを使用できます。プラットフォームを選択し、'Artifacts' を選択します。それらを使用するために必要な Pin のバージョンを確認するには、'Console' 出力を確認してください。その後、インストール手順に従ってください。

⚙ 使い方

📖 使用法の詳細はプロジェクトのWikiにあります。

🛠 ヘルパー

API引数トレーシング用のparams.txtの自動生成には、YoavLeviによるIAT-Tracerをお試しください。

警告

• Pin を正しく動作させるには、カーネルデバッグを無効にする必要があります。
• install32_64 には、カーネルデバッガが無効になっているかどうかをチェックするユーティリティ（kdb_check.exe、ソース）があり、Tiny Tracer の .bat スクリプトで使用されています。このユーティリティは Windows Defender によってマルウェアとして誤検出されることがあります（既知の誤検知です）。この問題が発生した場合は、インストールディレクトリを Windows Defender のスキャンから除外する必要があるかもしれません。
• Pin バージョン 3.20 以降、古いバージョンの Windows のサポートが終了しました。Windows 8 より前のバージョンでツールを使用する必要がある場合は、Legacy Build に従ってください。

🤔 質問は？アイデアは？ディスカッションに参加してください！