Снять трассу выполнения программы

[benedict]

Здравствуйте, хотел спросить не подскажете чем лучше снять трассу исполнения программы ? Одно важное условие, нужно что бы эта тулза работала с kernel mod в Windows.

Pin - хороший вариант, но не уверен работает ли он с ядром?
Плагин к WinDbg - такого плагина не нашел, и тут вариант, либо писать нативный плагин либо на питоне юзая PyKd.

[JKornev]

Pin стопудова не вариант, вам видимо нужно что-то вроде Bochs, правда сам трассы через него не снимал.

Плагин к WinDBG будет очень медленно работать

[benedict]

Pin не вариант судя потому что он не работает в режиме ядра. Или еще есть причины ?

А есть ли DBI фреймворки которые могут работать в ядре? читал что они есть но приватные только.

вам видимо нужно что-то вроде Bochs

А чуть подробнее, не подскажите, что и как это едят ? (оно ?)

Плагин будет сильно медленный ? А что тогда еще можно использовать ?

[Darwin]

Is there anything like PIN or DynamoRIO to instrument at Kernel level?
http://reverseengineering.stackexcha...nstrumentation

[JKornev]

Intel PIN (и т.п. DBI) работает в юзермоде, там тупо dll внедряется в целевой процесс. Поскольку вам надо снимать трассировку из ядра, то видимо необходимо использовать эмулятор процессора. Гуглите трассировку через Qemu, Bochs.

Плагин будет сильно медленный ? А что тогда еще можно использовать ?

Для ядра сильно, но если вам надо оттрасировать маленький кусок кода, то мб и сойдёт

[dukeBarman]

Попробуйте Panda, она вроде как из коробки поддерживает трассировку системных вызовов. А на pykd многие говорят, что очень медленно будет

[benedict]

Is there anything like PIN or DynamoRIO to instrument at Kernel level?
http://reverseengineering.stackexcha...nstrumentation

Спасибо, там да порекомендовали пару тулзов для инструментации ядра.

Попробуйте Panda, она вроде как из коробки поддерживает трассировку системных вызовов. А на pykd многие говорят, что очень медленно будет

Спасибо , не слышал даже про такой фреймворк. Судя по всему это то что нужно , ну буду курить что к чему.
Всем спасибо большое )

Кстати еще наткнулся на такую тулзу DbiFuzz framework, никто не юзал ?
http://www.slideshare.net/PeterHlava...s-e0x03-slides
https://github.com/zer0mem/ShowMeYou...ee/x64userland