[發明專利]一種調用函數的分析方法及裝置

有效

• 申請號: 201710225618.1
• 申請日: 2017-04-07
• 公開（公告）號: CN107102944B
• 公開（公告）日: 2020-01-24
• 發明（設計）人: 孫吉平;尹永政
• 申請（專利權）人: 北京深思數盾科技股份有限公司
• 主分類號: G06F11/36
• 分類號: G06F11/36
• 代理公司: 11348 北京鼎佳達知識產權代理事務所(普通合伙)
• 代理人: 王偉鋒;劉鐵生

1.一種調用函數的分析方法，其特征在于，包括：

通過掛起的方式創建分析進程，所述分析進程中包含有預設容量的動態內存；

將預設分析代碼載入所述動態內存中；

創建內存映射文件以及統計結果事件，所述內存映射文件中存儲有調用函數的函數信息；

獲取調用函數對應的函數信息；

當程序執行至所述調用函數時，根據預設分析代碼對所述函數信息所對應調用函數的調用情況進行分析；

生成調用函數的分析結果；

其中，所述根據預設分析代碼對所述函數信息所對應調用函數的調用情況進行分析包括：

傳遞所述分析進程的標識信息，根據所述標識信息加載所述內存映射文件以及統計結果事件；

根據所述內存映射文件將程序執行的起始地址添加至所述預設分析代碼中，當所述分析進程執行時跳轉至所述程序執行的起始地址；

加載需要注入至所述分析進程的動態鏈接庫，根據所述動態鏈接庫中的監控函數塊對所述調用函數進行分析，得到調用函數的調用信息；

將所述調用函數的調用信息實時的保存到內存映射文件當中。

2.根據權利要求1所述的方法，其特征在于，所述根據所述動態鏈接庫中的監控函數塊對所述調用函數進行分析，得到調用函數的調用信息包括：

啟動所述動態鏈接庫中的函數hook被保護程序的函數塊作為監控函數塊；

根據所述函數hook被保護程序的函數塊監控所述調用函數的調用情況，得到所述調用函數的調用信息。

3.根據權利要求2所述的方法，其特征在于，在所述啟動所述動態鏈接庫中的函數hook被保護程序的函數塊作為監控函數塊之前，所述方法還包括：

根據所述調用函數的函數信息獲取所述調用函數的函數類型；

當所述調用函數的函數類型為可直接執行函數時，通過模塊句柄載入動態鏈接庫；

當所述調用函數的函數類型為不可直接執行函數時，通過加載模塊載入動態鏈接庫。

4.根據權利要求2所述的方法，其特征在于，所述根據所述函數hook被保護程序的函數塊監控所述調用函數的調用情況，得到所述調用函數的調用信息包括：

當調用函數被調用時，通過所述函數hook被保護的函數塊獲取所述調用函數的地址；

根據所述調用函數的地址遍歷所述內存映射文件中存儲的調用函數的相對虛擬地址；

更新匹配結果相一致的調用函數對應的調用信息，將所述調用信息保存至所述內存映射文件中。

5.根據權利要求1-4中任一項所述的方法，其特征在于，所述獲取調用函數的函數信息包括：

啟動所述分析進程，通過所述內存映射文件獲取所述調用函數的函數信息。

6.一種調用函數的分析裝置，其特征在于，包括：

第一創建單元，用于通過掛起的方式創建分析進程，所述分析進程中包含有預設容量的動態內存；

載入單元，用于將預設分析代碼載入所述動態內存中；

第二創建單元，用于創建內存映射文件以及統計結果事件，所述內存映射文件中存儲有調用函數的函數信息；

獲取單元，用于獲取調用函數對應的函數信息；

分析單元，用于當程序執行至所述調用函數時，根據預設分析代碼對所述函數信息所對應調用函數的調用情況進行分析；

生成單元，用于生成調用函數的分析結果；

其中，所述分析單元包括：

加載模塊，用于傳遞所述分析進程的標識信息，根據所述標識信息加載所述分析進程中的內存映射文件以及統計結果事件；

添加模塊，用于根據所述內存映射文件將程序執行的起始地址添加至所述預設分析代碼中，當所述分析進程執行時跳轉至所述程序執行的起始地址；

分析模塊，用于加載需要注入至所述分析進程的動態鏈接庫，根據所述動態鏈接庫中的監控函數塊對所述調用函數進行分析，得到調用函數的調用信息；

保存模塊，用于將所述調用函數的調用信息實時的保存到內存映射文件當中。