Парсинг Call и Ret с помощью ptrace.
Я пытаюсь проанализировать все звонки и повторы из исполняемого файла с ptrace. Соответствуетx64opcodeЯ нашел коды операций дляЗвонки: 0xe8 и дляRets: 0xc3, 0xc2, 0xca, 0xcb.
С тех пор как я их проанализировал, я нашел больше Ретов, чем Коллов.
Есть программа, которую я отслеживаю:
void func()
{
write(1, "i", 1);
}
int main(int ac)
{
func();
return(0);
}
Вот мой трассировщик:
int tracer(t_info *info)
{
int status;
long ptr;
int ret = 0;
int call = 0;
waitpid(info->pid, &status, 0);
while (WIFSTOPPED(status))
{
ptrace(PTRACE_GETREGS, info->pid, NULL, info->regs);
ptr = ptrace(PTRACE_PEEKDATA, info->pid, info->regs->rip);
if (((ptr & 0x000000ff) == 0xe8)) // Opcode for call
{
call++;
}
else if (((ptr & 0x000000ff) == 0xc3) // Opcodes for rets
|| ((ptr & 0x000000ff) == 0xc2)
|| ((ptr & 0x000000ff) == 0xca)
|| ((ptr & 0x000000ff) == 0xcb))
{
ret++;
}
ptrace(PTRACE_SINGLESTEP, info->pid, 0, 0);
waitpid(info->pid, &status, 0);
}
printf("Calls: %i\nRets: %i\nDiff: %i\n", call, ret, call - ret);
return (0);
}
Вот мой вывод:
Calls: 656
Rets: 666
Diff: -10
Почему там не одинаковое количествоРец а такжезвонки ? Я скучаю по некоторым кодам операций? Есть ли функции, которые не возвращаются?