0

我使用 Intel 工具Pin对 Linux 上的多线程进程进行检测，并监控线程之间的共享内存访问，我在其中开发了一个工具Pin来记录共享内存地址，Pin 中的检测代码如下：

VOID Instruction(INS ins, VOID *v)
{
    UINT32 memOperands = INS_MemoryOperandCount(ins);

    // Iterate over each memory operand of the instruction.
    for (UINT32 memOp = 0; memOp < memOperands; memOp++)
    {
        if (INS_MemoryOperandIsRead(ins, memOp))
        {
            INS_InsertPredicatedCall(
                ins, IPOINT_BEFORE, (AFUNPTR)RecordMemRead,
                IARG_INST_PTR,
                IARG_MEMORYOP_EA, memOp,
                IARG_END);
        }
        // Note that in some architectures a single memory operand can be
        // both read and written (for instance incl (%eax) on IA-32)
        // In that case we instrument it once for read and once for write.
        if (INS_MemoryOperandIsWritten(ins, memOp))
        {
            INS_InsertPredicatedCall(
                ins, IPOINT_BEFORE, (AFUNPTR)RecordMemWrite,
                IARG_INST_PTR,
                IARG_MEMORYOP_EA, memOp,
                IARG_END);
        }
    }
}

该函数用于在读写内存时记录线程的信息和内存地址，我在这个函数中使用了锁RecordMemRead。 我想记录线程间共享的内存地址，比如全局变量或者堆内存。 但是当我使用一个简单的多线程程序来测试我的工具时。测试如下。在这个程序中，用户没有定义任何共享变量或共享内存：RecordMemWrite


#include <stdio.h>
#include <pthread.h>
#include <unistd.h>
#include <stdlib.h>

void * fun1(void *arg)
{

}

int main(int argc,char* argv[])
{
    pthread_t npid1;

    pthread_create(&npid1,NULL,fun1,NULL);

    pthread_join(npid1,NULL);

    return 0;
}

结果表明多线程访问的内存，并在下一行输出内存访问指令的调试信息：

read addr: b775252c
line:0 col: 0 file: 
write addr: b775252c
line:0 col: 0 file: 
write addr: b775252c
line:0 col: 0 file: 
write addr: b775252c
line:0 col: 0 file: 
write addr: b775252c
line:0 col: 0 file: 
write addr: b775252c
line:0 col: 0 file: 
write addr: b775252c
line:0 col: 0 file: 
read addr: b556ad64
line:0 col: 0 file: 
read addr: b556abc4
line:0 col: 0 file: 
write addr: b556abc4
line:0 col: 0 file:

结果表明两个线程都有一些内存访问，并且读/写指令没有调试信息（我在编译时添加了 -g 选项），所以这些内存可能被库访问
Q1：什么线程用这些记忆？
Q2：如果我只想监控用户定义的内存，而不是库中定义的，如何区分？

4

1 回答 1

0
  1. 显然，您需要有关这些地址中发生的事情的更多信息。我建议使用 pin 的 RTN_* 和 IMG API 来获取有关正在执行的例程的更多信息，然后在反汇编程序中检查相关图像。
  2. 您可以按代码源过滤访问，而不是按内存过滤。只需避免检测作为系统库一部分的指令。

关于评论中的讨论，还应考虑您未检测到库使用的同步机制的情况。

于 2015-11-29T07:56:09.400 回答