windows - 捕获可移植可执行文件 (PE) EXE 内部函数调用

Question

我如何捕获/记录 EXE 文件的所有本地函数调用？API 监控工具捕获 Windows API 函数调用，我想捕获本地函数调用，例如当用户单击某个按钮时。

问候，

Answer 1

API 监视器之所以起作用，是因为它很容易判断 CPU 控制何时从进程中传递到操作系统中。您要求的是监视 CPU 指令指针何时在同一进程内存空间内从一个地方移动到另一个地方。执行此操作的工具称为调试器。Windows 上的调试器示例包括 Visual Studio、WinDbg 或 NTSD。

按照难度递增的顺序，您可以：

1）将您想要的遥测添加到源代码并重新编译可执行文件。

2）如果您有构建符号（通常是 PDB 文件），请连接调试器并在您感兴趣的函数上设置断点/跟踪点。

3）如果你没有来源，那么这个任务实际上和#2一样，但是要困难得多。您仍然连接调试器，但现在您将自己跟踪程序以确定哪些内存地址对应于您想要的功能，然后设置断点。