有关Branch Trace Stored 一些问题

Windows内核调试

有关Branch Trace Stored 一些问题

weolar 2009-02-12, 00:18 上午
我打算好好研究研究intel x86提供的Branch Trace Store的功能，不过您的软件调试在某些地方都没说清楚。典型的问题有：
1.您的CpuWhere不能，让cpu只记录下我们需要记录的进程的Branch，这个问题有什么好的解决方案？或者说怎么在记录的数据里面剔除不需要的进程的？

2.有没有对这个功能比较成熟的应用的程序的代码或者资料？

谢谢陈先生的软件调试，可以说是windows的一种解读，呵呵。

Re: 有关Branch Trace Stored 一些问题

格蠹老雷 2009-02-12, 15:31 下午
对你说的话很感兴趣，你能介绍一下你么，比如做什么开发？工作多久了？可以不包含真实姓名

Re: 有关Branch Trace Stored 一些问题

nightxie 2009-02-12, 15:51 下午
kanxue上有一片文章，不知道你看过没~
http://bbs.pediy.com/showthread.php?t=66975

Re: 有关Branch Trace Stored 一些问题

weolar 2009-02-13, 10:31 上午
呵呵，这篇文章只要搜索Branch Trace Stored 第一个就能看见，不过里面也没关于进程的问题。我想INTER是不是记录的信息太少了。
其实我只是大4刚签完工作的学生而已，刚从事反病毒行业，见笑了^_^

Re: 有关Branch Trace Stored 一些问题

格蠹老雷 2009-02-13, 13:17 下午
大学毕业，憧憬着美好的未来，希望这个世界如设想的那般完美，一切东西都应该给我准备好呀，我要工作了......
“什么东西都没准备好，我怎么做事情呀?”
我真的遇到过这样的RCG，连对他/她使用help这个词，他/她都不能接受：“为什么说帮助我吗，大家都是做工作么？”——多么有道理呀

楼主不要过于介意，随感而已。^_^
对于你关于进程的问题，CPU是故意这样设计的，不是“INTER记录的信息太少”。CPU要支持各种操作系统，晶体管也不适合实现这样的逻辑。因此，这是故意留给软件做的事，软件可以在进程切换时，动态开关记录机制，来记录合适的进程。

《软件调试》和CpuWhere的目标也都不是产品级的工具，只是演示基本原理而已，抱歉了。

至于你把《软件调试》看作是对“windows的一种解读”，也颇令作者啼笑皆非呀。莫要说绪论、“CPU的调试支持”、“可调试性”，就是“编译器的调试支持”和“调试器”也都不是Windows呀......

Re: 有关Branch Trace Stored 一些问题

王宇 2009-02-13, 13:23 下午
楼主想研发样本行为分析工具吗？

Raymond 老师姓张呵呵呵...

Re: 有关Branch Trace Stored 一些问题

weolar 2009-02-13, 21:54 下午
张老师请见谅，瞧我这记性，把您的姓都给打错了……
关于进程的问题，我想只好挂接KiSwapContext来辅助分析了。
当然《软件调试》这本书包含的内容不仅仅是windows下的，不过其中关于这些的是我最感兴趣的了，简直当成工具书来查询，呵呵。（当然其他部分也很棒）
确实有这个想法开发样本行为分析工具，而且不光可以用来分析样本，我想可以做出很多事情吧^_^。