基于探针的动态插桩

由于基于探针的动态插桩，通常只能在函数边界插入代码，难以对程序的指令流进行很好的分析，所以平时用的比较少。以前使用微软研究院的detour的API觉得它很神奇，最近看了下它的原理还是很简单：基于简单动态重写函数的开始几个字节，然后跳转到特定函数。呵呵，但是要做好还是不容易的。闲来无事写了一个很粗糙的实现。

 

基本原理就是：（1）保存函数的入口的几个字节，并插入一天跳回函数的jmp指令（这一块代码称为trampaline）。这里的前几个字节不是个定数是有原因的，实际上我们只需要前5字节来保存一条JMP指令，但入口的5个字节可能并不是几条完整的指令，因此若只保存5个字节就会截断指令。如下面的代码所示，test函数入口的第5个字节包含于sub，保存前6个字节就可以避免截断sub指令。

080483e4 <test>: 80483e4: 55 push %ebp 80483e5: 89 e5 mov %esp,%ebp 80483e7: 83 ec 18 sub $0x18,%esp 80483ea: c7 04 24 e0 84 04 08 movl $0x80484e0,(%esp)

（2）修改函数入口的5个字节为jmp xxx指令，其中的xxx就是探针函数到当前函数的偏移量。跳往探针函数并执行它。

（3）执行trampaline代码，执行原函数。

（3）恢复原函数的入口。

 

基本数据结构：

/*参数类型，包含的字节数，例如INT8表示数据大小为一个字节*/ typedef enum arg_type { NULL_TYPE, INT8, INT16, INT32, INT64 } arg_type_t; /*探针函数描述符*/ typedef struct probe { int id; /*探针id*/ int ref; /*引用计数*/ void *probe_fuc; /*函数地址