Как определить вызовы malloc из основного исполняемого файла

Question

У меня есть простая программа, которая вызывает malloc, и я пытаюсь разработать pintool, чтобы поймать этот прямой вызов malloc из основного исполняемого файла.

Использование malloctrace.cpp из SimpleExamples (поставляется с SDK):

VOID Image(IMG img, VOID *v) 
{ 
    RTN mallocRtn = RTN_FindByName(img, MALLOC); 
    if (RTN_Valid(mallocRtn)) 
    { 
     RTN_Open(mallocRtn); 
     RTN_InsertCall(mallocRtn, IPOINT_BEFORE,(AFUNPTR)Arg1Before, IARG_ADDRINT, MALLOC, IARG_G_ARG0_CALLEE, IARG_END); 
     RTN_Close(mallocRtn); 
    } 
} 

Я ловлю много звонков таНоса, как ориентированный на моем собственном коде или библиотеки, используемой ею.

Использование objdump, я вижу вызов таНос:

callq 4003b8 <malloc@plt> 

, который начинается с таНос @ PLT. Просмотр подпрограмм в моем основном исполняемом файле. Я вижу процедуру .plt, но не могу сказать, принадлежит ли она malloc или любой другой внешней функции.

Я ценю вашу помощь.

Answer 1

Вам нужно будет добавить информацию к вашему обратному сообщению анализа о том, кто вызвал функцию malloc(). Самый простой способ сделать это - добавить IARG_RETURN_IP на ваш RTN_InsertCall() вызов и изменение Arg1Before соответственно.

Затем вы можете использовать IMG_IsMainExecutable(IMG_FindByAddress(...)) на обратном IP-адресе в Arg1Before, чтобы узнать, пришел ли этот вызов из основного исполняемого файла.