windows平台调用函数堆栈的追踪方法

2018-08-31 16:15:42 浏览数 (1)

在windows平台，有一个简单的方法来追踪调用函数的堆栈，就是利用函数CaptureStackBackTrace，但是这个函数不能得到具体调用函数的名称，只能得到地址，当然我们可以通过反汇编的方式通过地址得到函数的名称，以及具体调用的反汇编代码，但是对于有的时候我们需要直接得到函数的名称，这个时候据不能使用这个方法，对于这种需求我们可以使用函数：SymInitialize、StackWalk、SymGetSymFromAddr、SymGetLineFromAddr、SymCleanup。

原理

基本上所有高级语言都有专门为函数准备的堆栈，用来存储函数中定义的变量，在C/C 中在调用函数之前会保存当前函数的相关环境，在调用函数时首先进行参数压栈，然后call指令将当前eip的值压入堆栈中，然后调用函数，函数首先会将自身堆栈的栈底地址保存在ebp中，然后抬高esp并初始化本身的堆栈，通过多次调用最终在堆栈段形成这样的布局

这里对函数的原理做简单的介绍，有兴趣的可以看我的另一篇关于C函数原理讲解的博客，点击这里跳转 VC 编译器在编译时对函数名称与地址都有详细的记录，编译出来的程序都有一个符号常量表，将符号常量与它对应的地址形成映射，在搜索时首先根据这些堆栈环境找到对应地址，然后根据地址在符号常量表中，找到具体调用的信息，这是一个很复杂的工程，需要对编译原理和汇编有很强的基础，幸运的是，如今这些工作不需要程序员自己去做，windows帮助我们分配了一组API，在编写程序时只需要调用API即可

函数说明

SymInitialize：这个函数主要用作初始化相关环境。 SymCleanup：清楚这个初始化的相关环境，在调用SymInitialize之后需要调用SymCleanup，进行释放资源的操作 StackWalk：程序的功能主要由这个函数实现，函数会从初始化时的堆栈顶开始向下查找下一个堆栈的信息，原型如下：

代码语言：javascript复制
BOOL WINAPI StackWalk(
  __in          DWORD MachineType, //机器类型现在一般是intel的x86系列，这个时候填入IMAGE_FILE_MACHINE_I386
  __in          HANDLE hProcess, //追踪的进程句柄
  __in          HANDLE hThread, //追踪的线程句柄
  __in_out      LPSTACKFRAME StackFrame, //记录的追踪到的堆栈信息
  __in_out      PVOID ContextRecord, //记录当前的线程环境
  __in          PREAD_PROCESS_MEMORY_ROUTINE ReadMemoryRoutine,
  __in          PFUNCTION_TABLE_ACCESS_ROUTINE FunctionTableAccessRoutine,
  __in          PGET_MODULE_BASE_ROUTINE GetModuleBaseRoutine,
  __in          PTRANSLATE_ADDRESS_ROUTINE TranslateAddress //后面的四个参数都是回掉函数，有系统自行调用，而且这些函数都是定义好的，只需要填入相应的函数名称
);

需要注意的一点是，在首次调用该函数时需要对StackFrame中的AddrPC、AddrFrame、AddrStack这三个成员进行初始化，填入相关值，以便函数从此处线程堆栈的栈顶进行搜索，否则调用函数将失败，具体如何填写请看MSDN。

代码语言：javascript复制
SymGetSymFromAddr：根据获取到的函数地址得到函数名称、堆栈大小等信息，这个函数的原型如下：
BOOL WINAPI SymGetSymFromAddr(
  __in          HANDLE hProcess, //进程句柄
  __in          DWORD Address, //函数地址
  __out         PDWORD Displacement, //返回该符号常量的位移或者填入NULL，不获取此值
  __out         PIMAGEHLP_SYMBOL Symbol//返回堆栈信息
);

SymGetLineFromAddr：根据得到的地址值，获取调用函数的相关信息。主要记录是在哪个文件，哪行调用了该函数，下面是函数原型：

代码语言：javascript复制
BOOL WINAPI SymGetLineFromAddr(
  __in          HANDLE hProcess,
  __in          DWORD dwAddr,
  __out         PDWORD pdwDisplacement,
  __out         PIMAGEHLP_LINE Line
);

它参数的含义与SymGetSymFromAddr，相同。 通过上面对函数的说明，我们可以知道，为了追踪函数调用的详细信息，大致步骤如下： 1. 首先调用函数SymInitialize进行相关的初始化工作。 2. 填充结构体StackFrame的相关信息，确定从何处开始追踪。 3. 循环调用StackWalk函数，从指定位置，向下一直追踪到最后。 4. 每次将获取的地址分别传入SymGetSymFromAddr、SymGetLineFromAddr，得到函数的详细信息 5. 调用SymCleanup，结束追踪 但是需要注意的一点是，函数StackWalk会顺着线程堆栈进行查找，如果在调用之前，某个函数已经返回了，它的堆栈被回收，那么函数StackWalk自然不会追踪到该函数的调用。

具体实现

代码语言：javascript复制
void InitTrack()
{
    g_hHandle = GetCurrentProcess();

    SymInitialize(g_hHandle, NULL, TRUE);
}

void StackTrack()
{
    g_hThread = GetCurrentThread();
    STACKFRAME sf = { 0 };

    sf.AddrPC.Offset = g_context.Eip;
    sf.AddrPC.Mode = AddrModeFlat;

    sf.AddrFrame.Offset = g_context.Ebp;
    sf.AddrFrame.Mode = AddrModeFlat;

    sf.AddrStack.Offset = g_context.Esp;
    sf.AddrStack.Mode = AddrModeFlat;

    typedef struct tag_SYMBOL_INFO
    {
        IMAGEHLP_SYMBOL symInfo;
        TCHAR szBuffer[MAX_PATH];
    } SYMBOL_INFO, *LPSYMBOL_INFO;

    DWORD dwDisplament = 0;
    SYMBOL_INFO stack_info = { 0 };
    PIMAGEHLP_SYMBOL pSym = (PIMAGEHLP_SYMBOL)&stack_info;
    pSym->SizeOfStruct = sizeof(IMAGEHLP_SYMBOL);
    pSym->MaxNameLength = sizeof(SYMBOL_INFO) - offsetof(SYMBOL_INFO, symInfo.Name);
    IMAGEHLP_LINE ImageLine = { 0 };
    ImageLine.SizeOfStruct = sizeof(IMAGEHLP_LINE);

    while (StackWalk(IMAGE_FILE_MACHINE_I386, g_hHandle, g_hThread, &sf, &g_context, NULL, SymFunctionTableAccess, SymGetModuleBase, NULL))
    {
        SymGetSymFromAddr(g_hHandle, sf.AddrPC.Offset, &dwDisplament, pSym);
        SymGetLineFromAddr(g_hHandle, sf.AddrPC.Offset, &dwDisplament, &ImageLine);
        printf("当前调用函数 : x %s(FILE[%s]LINE[%d])n", pSym->Address, pSym->Name, ImageLine.FileName, ImageLine.LineNumber);
    }

}

void UninitTrack()
{
    SymCleanup(g_hHandle);
}

测试程序如下：

代码语言：javascript复制
void func1()
{
    OPEN_STACK_TRACK;
}

void func2()
{
    func1();
}

void func3()
{
    func2();

}
void func4()
{
    printf("hellon");
}

int _tmain(int argc, TCHAR* argv[])
{
    func4();
    func3();
    func3();
    return 0;
}

OPEN_STACK_TRACK是一个宏，它的定义如下：

代码语言：javascript复制
#define OPEN_STACK_TRACK
 HANDLE hThread = GetCurrentThread();
GetThreadContext(hThread, &g_context);
__asm{call $   5}
__asm{pop eax}
__asm{mov g_context.Eip, eax}
__asm{mov g_context.Ebp, ebp}
__asm{mov g_context.Esp, esp}
InitTrack();
StackTrack();
UninitTrack();

这个程序需要注意以下几点： 1. 如果想要追踪所有调用的函数，需要将这个宏放置到最后调用的位置，当然前提是此时之前被调函数的堆栈仍然存在。当然可以在调用前简单的计算，找出在哪个位置是所有函数都没有调用完成的，不过这样可能就与程序的初衷相悖，毕竟程序本身就是为了获取堆栈的调用信息。。。。 2. IMAGEHLP_SYMBOL的结构体中关于Name的成员，只有一个字节，而函数SymGetSymFromAddr在填入值时是没有关心这个实际大小，它只是简单的填充，这就造成了缓冲区溢出的情况，为了避免我们需要在Name后面额外给一定大小的缓冲区，用来接收数据，这也就是我们定义这个结构体SYMBOL_INFO的原因。另外IMAGEHLP_SYMBOL中的MaxNameLength成员是指Name的最大长度，需要根据给定的缓冲区，进行计算。 3. 从测试程序来看，在进行追踪时func4已经调用完成，而我们在获取线程的运行时环境g_context时函数GetThreadContext，也在堆栈中，最终得到的结果中必然包含GetThreadContext的调用信息，如果想去掉这个信息，只需要修改获得信息的值，既然函数StackWalk是根据堆栈进行追踪，那么只需要修改对应堆栈的信息即可，需要修改eip 、ebp、esp的值，关于esp ebp的值很好修改，可以在对应函数中esp ebp这些寄存器的值，而eip的值就不那么好获取，本生利用mov指令得到eip的值它也是指令，会改变eip的值，从而造成获取到的eip的值不准确，所以我们利用call指令，先保存当前eip的值到堆栈，然后再从堆栈中取出。call指令的实质是 push eip和jmp addr指令的组合，并不一定非要调用函数。call指令的大小为5个字节，所以call $ 5表示先保存eip在跳转到它的下一跳指令处。这样就可以有效的避免检测到GetThreadContext中的相关函数调用。

windows 汇编语言 存储 api

0 人点赞