使用API Monitor工具巧妙探测C++程序中监听某端口的模块

news2024/10/7 0:27:35

目录

1、问题说明

2、API Monitor工具介绍

2.1、API Monitor主要用途

2.2、如何使用API Monitor工具

3、使用API Monitor监测程序对bind函数的调用，定位启用2620端口的模块

3.1、为啥要监控socket API函数bind

3.2、编写演示代码进行说明

3.3、使用API Monitor进行监测 

4、使用API Monitor工具的注意事项

4.1、如何在Call Stack窗口中查看到更多的函数调用？

4.2、如果Start Monitoring失败怎么办？

5、最后

VC++常用功能开发汇总（专栏文章列表，欢迎订阅，持续更新...）icon-default.png?t=N7T8https://blog.csdn.net/chenlycly/article/details/124272585C++软件异常排查从入门到精通系列教程（专栏文章列表，欢迎订阅，持续更新...）icon-default.png?t=N7T8https://blog.csdn.net/chenlycly/article/details/125529931C++软件分析工具从入门到精通案例集锦（专栏文章，持续更新中...）icon-default.png?t=N7T8https://blog.csdn.net/chenlycly/article/details/131405795C/C++基础与进阶（专栏文章，持续更新中...）icon-default.png?t=N7T8https://blog.csdn.net/chenlycly/category_11931267.html       当我们没法确定软件中的某个端口是哪个模块启用时，可以使用API Monitor工具去监测软件中对相关socket函数的调用去搞清楚。本文将详细讲述如何使用API Monitor工具去监测对端口的启用情况。

1、问题说明

       最近在对我们的C++软件做安全测试，使用专用工具对软件使用的端口号进行扫描，发现有模块启用了2620端口，安全测试组的同事需要明确搞清楚这个端口是用来做什么的，但询问了多个开发组，都没人认领这个端口。

       后来想到可以尝试用API Monitor工具监测一下软件对socket API函数bind的调用（因为要开启监听端口，一般先要调用bind函数去绑定端口），如果能监测到记录，查看对应的函数调用堆栈就能确定是哪个模块启用了这个端口。

2、API Monitor工具介绍

2.1、API Monitor主要用途

        API Monitor可以用来监测程序对Windows系统API函数的调用，也可以监测对第三方dll库接口的调用。监测到函数调用时，可以查看到给函数传递的参数值，还可以查看当前函数调用所在线程的函数调用堆栈。

       使用该工具去窥探一些主流软件对系统API函数的调用情况，可以看到调用函数时传入的参数值，这样就能模仿一些主流软件去实现一些类似的功能。我们在项目中多次使用过这个方法，比如我们在处理安装包中创建桌面快捷方式时遇到的若干问题时就用过。

2.2、如何使用API Monitor工具

        API Monitor工具的主界面如下所示：

一般我们在使用该工具监控程序对API函数的调用时，首先在左边的函数列表中搜索到要监控的系统API函数，然后勾选上该函数。

       接着，在左下角的进程列表中找到要监测的目标进程，右键点击，在弹出的右键菜单中点击“Start Monitoring”开始监控该进程。如果目标程序在运行的过程中调用了被监控的函数，右上方的列表中就会显示对应的记录。选中某条记录时，可以查看调用目标函数时传入的参数值，还可以看到此时所在线程的函数调用堆栈。

       和Windbg类似的，开启对目标程序的监测有两种方式：

1）可以在左下方的进程列表中找到已经启动的目标进程，然后右键点击，在弹出的右键菜单中开启监控。
2）可以通过API Monitor去启动目标进程，点击主界面中的“Monitor New Process”，找到目标程序的路径，启动即可。这种方式适用于监测程序启动过程中的函数调用活动。

3、使用API Monitor监测程序对bind函数的调用，定位启用2620端口的模块

3.1、为啥要监控socket API函数bind

       一般负责网络通信的模块，无论是TCP还是UDP，底层最终调用的都是socket API函数。我们要监测哪个模块启用2620端口，一般监听端口时需要先调用bind函数绑定2620端口，所以我们监测对bind函数的调用即可。

       我们可以在MSDN上对bind函数说明页面中看到相关示例代码：

#ifndef UNICODE
#define UNICODE
#endif

#define WIN32_LEAN_AND_MEAN

#include <winsock2.h>
#include <Ws2tcpip.h>
#include <stdio.h>

// Link with ws2_32.lib
#pragma comment(lib, "Ws2_32.lib")

int main()
{

    // Declare some variables
    WSADATA wsaData;

    int iResult = 0;            // used to return function results

    // the listening socket to be created
    SOCKET ListenSocket = INVALID_SOCKET;

    // The socket address to be passed to bind
    sockaddr_in service;

    //----------------------
    // Initialize Winsock
    iResult = WSAStartup(MAKEWORD(2, 2), &wsaData);
    if (iResult != NO_ERROR) {
        printf("Error at WSAStartup()\n");
        return 1;
    }
    //----------------------
    // Create a SOCKET for listening for 
    // incoming connection requests
    ListenSocket = socket(AF_INET, SOCK_STREAM, IPPROTO_TCP);
    if (ListenSocket == INVALID_SOCKET) {
        printf("socket function failed with error: %u\n", WSAGetLastError());
        WSACleanup();
        return 1;
    }
    //----------------------
    // The sockaddr_in structure specifies the address family,
    // IP address, and port for the socket that is being bound.
    service.sin_family = AF_INET;
    service.sin_addr.s_addr = inet_addr("127.0.0.1");
    service.sin_port = htons(2620);

    //----------------------
    // Bind the socket.
    iResult = bind(ListenSocket, (SOCKADDR *) &service, sizeof (service));
    if (iResult == SOCKET_ERROR) {
        printf("bind failed with error %u\n", WSAGetLastError());
        closesocket(ListenSocket);
        WSACleanup();
        return 1;
    }
    else
        wprintf("bind returned success\n");

    WSACleanup();
    return 0;
}

从上面代码可以看出，在调用bind函数时，传入的是sockaddr_in结构体对象地址，然后强转成SOCKADDR*。

对于Windows C++程序员，在使用系统API函数遇到问题时，要会到MSDN上查看函数声明、参数含义以及函数的remarks说明，这是基本的要求！

3.2、编写演示代码进行说明

       此处不便展示项目中的相关模块和接口，也为了方便日后的视频课程的讲解，我特意写了一些测试代码，来讲述整个问题的监测过程。

       我在测试程序启动时调用bind函数绑定2620端口号，相关代码如下所示：

    // Declare some variables
    WSADATA wsaData;

    int iResult = 0;            // used to return function results

    // the listening socket to be created
    SOCKET ListenSocket = INVALID_SOCKET;

    // The socket address to be passed to bind
    sockaddr_in service;

    //----------------------
    // Initialize Winsock
    iResult = WSAStartup(MAKEWORD(2, 2), &wsaData);
    if (iResult != NO_ERROR) {
        printf("Error at WSAStartup()\n");
        return 1;
    }
    //----------------------
    // Create a SOCKET for listening for 
    // incoming connection requests
    ListenSocket = socket(AF_INET, SOCK_STREAM, IPPROTO_TCP);
    if (ListenSocket == INVALID_SOCKET) {
        printf("socket function failed with error: %u\n", WSAGetLastError());
        WSACleanup();
        return 1;
    }
    //----------------------
    // The sockaddr_in structure specifies the address family,
    // IP address, and port for the socket that is being bound.
    service.sin_family = AF_INET;
    service.sin_addr.s_addr = inet_addr("127.0.0.1");
    service.sin_port = htons(2620);

    //----------------------
    // Bind the socket.
    iResult = bind(ListenSocket, (SOCKADDR *) &service, sizeof (service));

3.3、使用API Monitor进行监测 

       因为是在程序启动过程中绑定端口的，所以需要使用API Monitor工具启动目标程序，要从程序启动时就开始监控。

首先，在左边的函数列表中搜索到bind函数，因为可能很多函数名称中都包含bind子串，所以搜索时为了快速搜到目标函数，可以勾上“全字匹配”和“大小写匹配”。

        然后，点击“Monitor New Process”，找到目标程序的路径，启动程序并开始监测。程序在运行过程中调用了bind函数，就会显示出对应的记录（如果有多次调用，会有多个记录与之对应），如下所示：

在我们的项目软件中，实际上监测到了多条记录，我们如何确定哪条记录操作的端口号是2620呢？

       这时我们就需要查看调用bind函数时传入的参数了！选中某条记录时，Parameters窗口中就会显示调用该函数时传入的参数值，并且Call Stack窗口中会显示所在线程的函数调用堆栈。

       这个地方注意一下，Parameters窗口中显示的是SOCKADDR*指针，但我们在调用bind函数时传入的是sockaddr_in结构体对象数据，其中端口是设置到该结构体的sin_port字段中的，那么sin_port结构体和SOCKADDR结构体有什么的对应关系呢？我们可以在Visual Studio中go到这两个结构体的定义处，如下所示：

//
// Structure used to store most addresses.
//
typedef struct sockaddr {

#if (_WIN32_WINNT < 0x0600)
    u_short sa_family;
#else 
    ADDRESS_FAMILY sa_family;           // Address family.
#endif //(_WIN32_WINNT < 0x0600)

    CHAR sa_data[14];                   // Up to 14 bytes of direct address.
} SOCKADDR, *PSOCKADDR, FAR *LPSOCKADDR;
//
// IPv4 Socket address, Internet style
//

typedef struct sockaddr_in {

#if(_WIN32_WINNT < 0x0600)
    short   sin_family;    
#else //(_WIN32_WINNT < 0x0600)
    ADDRESS_FAMILY sin_family;
#endif //(_WIN32_WINNT < 0x0600)

    USHORT sin_port;
    IN_ADDR sin_addr;
    CHAR sin_zero[8];
} SOCKADDR_IN, *PSOCKADDR_IN;

这两个结构体的第一个字段都是sin_family，sockaddr_in结构体的第二个字段就是存放端口号的sin_port字段，所以在调用bind函数将sockaddr_in结构体对象地址强转成SOCKADDR对象地址，那么端口号实际上是对应到SOCKADDR结构体中的sa_data数组内存，端口号占两个字节，所以端口号值是存放在sa_data[0]和sa_data[1]内存中，所以我们在Parameters窗口中查看sa_data[0]和sa_data[1]内存中的值，看能否和2620端口号对应起来。

       我们可以使用Windows系统自带的计算器工具将十进制的2620转成16进制数据：

所以两个字节存放的数据为0x0A和0x3C，转换成10进制就是10和60，这样拿这两个值到Parameters窗口中比对，就能确定对应的条目了。

       确定对应的条目后，到Call Stack窗口中查看函数调用堆栈，就可以确定是哪个模块启动了2620端口了。

4、使用API Monitor工具的注意事项

4.1、如何在Call Stack窗口中查看到更多的函数调用？

        注意，API Monitor的函数调用堆栈窗口中默认只显示5行最近的函数调用，如果要显示更多的函数调用，需要到设置中去设置一下。具体的入口是，点击菜单栏中的Tools -> Options，在打开的设置窗口中，点击Monitoring按钮，显示对应的子页面，在页面中可以修改函数调用堆栈中显示的条目数目：

      此处注意一下，API Monitor工具不支持加载pdb文件，不像Process Explorer和Process Monitor那样支持加载pdb文件！ 

4.2、如果Start Monitoring失败怎么办？

       如果在左下角的进程列表中右键点击目标进程，在弹出的右键菜单中点击“Start Monitoring”开始监控，结果报错，提示开启监控失败。可能是目标进程是以管理员权限运行的，而当前的API Monitor没有管理员权限运行，而是以标准用户权限运行的。因为目标进程的运行权限（管理员权限）与API Monitor（标准用户权限）不对等，所以在低权限的API Monitor中不能操作高权限的目标进程。

       解决办法是，关闭当前的API Monitor程序，然后右键以管理员权限重新启动API Monitor，即可开启对目标进程的监控了。

5、最后

       本例通过API Monitor去监控程序对bind函数的调用，去巧妙定位启用2620端口的模块。文中详细讲解了API Monitor定位问题的完整过程，希望能给大家提供一个借鉴或参考。

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.coloradmin.cn/o/1044830.html

如若内容造成侵权/违法违规/事实不符，请联系多彩编程网进行投诉反馈，一经查实，立即删除！

相关文章

COTS即Commercial Off-The-Shelf 翻译为“商用现成品或技术”或者“商用货架产品”

COTS即Commercial Off-The-Shelf 翻译为“商用现成品或技术”或者“商用货架产品”

COTS 使用“不再做修理或改进”的模式出售的商务产品 COTS即Commercial Off-The-Shelf 翻译为“商用现成品或技术”或者“商用货架产品”&#xff0c;指可以采购到的具有开放式标准定义的接口的软件或硬件产品&#xff0c;可以节省成本和时间。 中文名 商用现成品或技术 外文…
阅读更多...
垂直行业大模型“封神”背后，AI数据服务走入“深水区”

垂直行业大模型“封神”背后，AI数据服务走入“深水区”

图源&#xff1a;Unsplash 文 | 智能相对论 作者 | 沈浪 由ChatGPT掀起的这股大模型浪潮&#xff0c;从通用领域席卷垂直领域。现阶段&#xff0c;越来越多的行业都在开发专用垂直细分赛道的大模型产品&#xff0c;以加速AI应用的场景化落地进程。 譬如&#xff0c;在电商领…
阅读更多...
MASA MAUI iOS 文件下载与断点续传

MASA MAUI iOS 文件下载与断点续传

文章目录 背景介绍方案及代码1、新建MAUI项目2、建立NSUrlSession会话连接3、使用NSUrlSessionDownloadTask 创建下载任务4、DidWriteData 监听下载5、DidFinishDownloading 完成下载6、CancelDownload (取消/暂停)下载7、ResumeDownload 恢复下载8、杀死进程-恢复下载 效果图总…
阅读更多...
界面组件DevExpress WPF v23.2新功能预览 - 更轻量级的主题

界面组件DevExpress WPF v23.2新功能预览 - 更轻量级的主题

本文主要描述了DevExpress WPF即将在几个月之后发布的v23.2中包含的新功能&#xff0c;持续关注我们获取更多最新资讯哦~ P.S&#xff1a;DevExpress WPF拥有120个控件和库&#xff0c;将帮助您交付满足甚至超出企业需求的高性能业务应用程序。通过DevExpress WPF能创建有着强…
阅读更多...
手把手带你完成安卓登录修改的案例

手把手带你完成安卓登录修改的案例

新建一个空的项目 到这里我们的项目就搭建完成了&#xff0c;接下来就来编写app的页面 提前准备 1.新建一个 登录 的java和xml文件 2.同样的步骤新建一个忘记登录的页面 3.创建一个工具类&#xff0c;这个工具来主要是用来隐藏软键盘的 import android.app.Activity; import an…
阅读更多...
【斯坦福cs324w】中译版 大模型学习笔记十 环境影响

【斯坦福cs324w】中译版 大模型学习笔记十 环境影响

环境影响 温室气体排放水足迹&#xff1a;数据中心使用水进行冷却&#xff1b;发电需要用水释放到环境中的化学物质很多是对人类有害的 如何计算数据中心能源消耗 简单表示形式 模型训练过程 参考资料 datawhale so-large-lm学习资料
阅读更多...
AWS-Lambda之导入自定义包-pip包

AWS-Lambda之导入自定义包-pip包

参考文档&#xff1a; https://repost.aws/zh-Hans/knowledge-center/lambda-import-module-error-python https://blog.csdn.net/fxtxz2/article/details/112035627 单来说,以 " alibabacloud_dyvmsapi20170525 " 包为例 mkdir /tmp cd ./tmp mkdir python pip ins…
阅读更多...
idea开发Springboot出租车管理系统VS开发mysql数据库web结构java编程计算机网页源码maven项目

idea开发Springboot出租车管理系统VS开发mysql数据库web结构java编程计算机网页源码maven项目

一、源码特点 springboot 出租车管理系统是一套完善的完整信息系统&#xff0c;结合springboot框架和bootstrap完成本系统&#xff0c;对理解JSP java编程开发语言有帮助系统采用springboot框架&#xff08;MVC模式开发&#xff09;&#xff0c; 系统具有完整的源代码和数据…
阅读更多...
Mysql基础【操作表中数据入门查询】

Mysql基础【操作表中数据入门查询】

一、DML&#x1f353; DML主要是对数据进行增&#xff08;insert&#xff09;删&#xff08;delete&#xff09;改&#xff08;update&#xff09;操作。 (一)、添加数据&#x1f95d; 语法格式&#xff1a; insert into 表名 &#xff08;字段名1&#xff0c;字段名2...&a…
阅读更多...
2024年【MCM/ICM】美国大学生数学建模竞赛优秀论文（免费下载）

2024年【MCM/ICM】美国大学生数学建模竞赛优秀论文（免费下载）

一、前言 美国大学生数学建模竞赛&#xff08;MCM/ICM&#xff09;由美国数学及其应用联合会主办&#xff0c;是最高的国际性数学建模竞赛&#xff0c;也是世界范围内最具影响力的数学建模竞赛&#xff0c;一般也指数学建模竞赛。赛题内容涉及经济、管理、环境、资源、生态、医…
阅读更多...
APP开发费用估算方法

APP开发费用估算方法

估算APP开发费用是一个重要的项目管理步骤&#xff0c;它有助于确定项目的总成本&#xff0c;并帮助您在项目规划阶段做出决策。APP开发费用估算的方法可以根据项目的规模、复杂性、功能和技术选择而异&#xff0c;以下是一些常见的APP开发费用估算方法&#xff0c;希望对大家有…
阅读更多...
Vue3最佳实践 第五章 Vue 组件应用 1( Props )

Vue3最佳实践 第五章 Vue 组件应用 1( Props )

本章带领大家理解组件、props、emits、slots、providers/injects&#xff0c;Vue 插件 等Vue组件使用的基础知识。 5.1 组件注册5.2 Props5.2.1 组件之间如何传值5.2.2 参数绑定 v-bind5.2.3 参数类型5.2.4 props 默认与必填5.2.5 验证设置5.2.6 useAttrs 属性设置 第一章 Vue3…
阅读更多...
regexp 应用

regexp 应用

今天同事拿出个小栗子 1 如果用like的话 1,22 的情况会被字符串2匹配到这样会有问题 这里需要用concat将uids处理下 比如第一条处理成&#xff0c;1,2&#xff0c;3&#xff0c; 的形式 去模糊匹配 ‘%,1,%’ 当然like这种模糊匹配不太建议使用 2 regexp 用法 单个值 &#x…
阅读更多...
SpringBoot的excel模板导出

SpringBoot的excel模板导出

Word的模板导出(参考&#xff1a;https://easyexcel.opensource.alibaba.com/docs/current/quickstart/fill) 创建有两个sheet的excel文件模板 将模板文件放入resource\templates/doc下使用 public void exportUavInfoExcel(HttpServletResponse response, CaseExportRPO cas…
阅读更多...
如何更改注册表使系统暂停更新时间延长

如何更改注册表使系统暂停更新时间延长

1、创建一个文本文件&#xff0c;命名为&#xff1a;“stopupdate.reg”&#xff0c;然后用记事本或者代码编辑器打开&#xff0c;复制以下代码&#xff1a; Windows Registry Editor Version 5.00[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\WindowsUpdate\UX\Settings] "F…
阅读更多...
气传导耳机有哪些好处？热门气传导耳机推荐

气传导耳机有哪些好处？热门气传导耳机推荐

​随着气传导耳机的快速发展&#xff0c;在运动、办公等场合能够经常看到&#xff0c;带来了前所未有的舒适体验。作为一种新型耳机类型&#xff0c;相较传统入耳式耳机来说&#xff0c;更有利于耳道卫生&#xff0c;在听歌时还能保持对环境声的感知。面对市面上这么多气传导耳…
阅读更多...
Docker(二)、linux环境Docker的部署以及构建镜像

Docker(二)、linux环境Docker的部署以及构建镜像

linux环境Docker的部署以及构建镜像 一、docker部署1、快速部署常用的命令&#xff1a;1.1、demo-部署tomcat1.2、tomcat容器内部结构1.2.1、每个tomcat容器&#xff0c;都包含三个组件1.2.2、在容器内部执行命令 1.3、容器生命周期 二、Dockerfile构建镜像1、demo-Dockerfile自…
阅读更多...
[Linux入门]---进程优先级

[Linux入门]---进程优先级

文章目录 1.进程优先级基本概念 2.查看系统进程PRI and NI 3.查看进程优先级的命令引入其他概念 1.进程优先级 基本概念 cpu资源分配的先后顺序&#xff0c;就是指进程的优先权&#xff08;priority&#xff09;。优先权高的进程有优先执行权利。配置进程优先权对多任务环境的…
阅读更多...
golang工程——常用数据结构底层原理【mao、slice、func、string】

golang工程——常用数据结构底层原理【mao、slice、func、string】

字符串 其实就是字符数组 注意 字节数组与字符串可以相互转换 a : "hello world" b : []byte(a) c : string(b)字节数组转换为字符串在运行时调用了slicebytetostring函数。需要注意的是&#xff0c;字节数组与字符串的相互转换并不是简单的指针引用&#xff0c;…
阅读更多...
下划线在键盘上怎么打？这3个方法快收藏！

下划线在键盘上怎么打？这3个方法快收藏！

“我最近的工作中好像很多文件里都有下划线&#xff0c;但是我不知道在键盘上应该怎么把下划线打出来&#xff0c;有没有知道的朋友呀&#xff1f;” 在计算机文档和编程中&#xff0c;下划线是一个常见的特殊字符。很多用户在使用电脑时可能也经常需要用到下划线。但是下划线在…
阅读更多...
推荐文章
最新文章

Copyright @ 2022~2023