使用API Monitor巧妙探测C++程序中监听2620端口的模块

news2024/11/13 11:44:18

目录

1、问题说明

2、API Monitor工具介绍

2.1、API Monitor主要用途

2.2、如何使用API Monitor工具

3、使用API Monitor监测程序对bind函数的调用，定位启用2620端口的模块

3.1、为啥要监控socket API函数bind

3.2、编写演示代码进行说明

3.3、使用API Monitor进行监测

4、使用API Monitor工具的注意事项

4.1、如何在Call Stack窗口中查看到更多的函数调用？

4.2、如果Start Monitoring失败怎么办？

5、最后

VC++常用功能开发汇总（专栏文章列表，欢迎订阅，持续更新...）https://blog.csdn.net/chenlycly/article/details/124272585C++软件异常排查从入门到精通系列教程（专栏文章列表，欢迎订阅，持续更新...）https://blog.csdn.net/chenlycly/article/details/125529931C++软件分析工具案例集锦（正在更新中...）https://blog.csdn.net/chenlycly/category_12279968.html?spm=1001.2014.3001.5482       当我们没法确定软件中的某个端口是哪个模块启用时，可以使用API Monitor工具去监测软件中对相关socket函数的调用去搞清楚。本文将详细讲述如何使用API Monitor工具去监测对端口的启用情况。

1、问题说明

       最近在对我们的C++软件做安全测试，使用专用工具对软件使用的端口号进行扫描，发现有模块启用了2620端口，安全测试组的同事需要明确搞清楚这个端口是用来做什么的，但询问了多个开发组，都没人认领这个端口。

       后来想到可以尝试用API Monitor工具监测一下软件对socket API函数bind的调用（因为要开启监听端口，一般先要调用bind函数去绑定端口），如果能监测到记录，查看对应的函数调用堆栈就能确定是哪个模块启用了这个端口。

2、API Monitor工具介绍

2.1、API Monitor主要用途

        API Monitor可以用来监测程序对Windows系统API函数的调用，也可以监测对第三方dll库接口的调用。监测到函数调用时，可以查看到给函数传递的参数值，还可以查看当前函数调用所在线程的函数调用堆栈。

       使用该工具去窥探一些主流软件对系统API函数的调用情况，可以看到调用函数时传入的参数值，这样就能模仿一些主流软件去实现一些类似的功能。我们在项目中多次使用过这个方法，比如我们在处理安装包中创建桌面快捷方式时遇到的若干问题时就用过。

2.2、如何使用API Monitor工具

        API Monitor工具的主界面如下所示：

一般我们在使用该工具监控程序对API函数的调用时，首先在左边的函数列表中搜索到要监控的系统API函数，然后勾选上该函数。

       接着，在左下角的进程列表中找到要监测的目标进程，右键点击，在弹出的右键菜单中点击“Start Monitoring”开始监控该进程。如果目标程序在运行的过程中调用了被监控的函数，右上方的列表中就会显示对应的记录。选中某条记录时，可以查看调用目标函数时传入的参数值，还可以看到此时所在线程的函数调用堆栈。

       和Windbg类似的，开启对目标程序的监测有两种方式：

1）可以在左下方的进程列表中找到已经启动的目标进程，然后右键点击，在弹出的右键菜单中开启监控。
2）可以通过API Monitor去启动目标进程，点击主界面中的“Monitor New Process”，找到目标程序的路径，启动即可。这种方式适用于监测程序启动过程中的函数调用活动。

3、使用API Monitor监测程序对bind函数的调用，定位启用2620端口的模块

3.1、为啥要监控socket API函数bind

       一般负责网络通信的模块，无论是TCP还是UDP，底层最终调用的都是socket API函数。我们要监测哪个模块启用2620端口，一般监听端口时需要先调用bind函数绑定2620端口，所以我们监测对bind函数的调用即可。

       我们可以在MSDN上对bind函数说明页面中看到相关示例代码：

#ifndef UNICODE
#define UNICODE
#endif

#define WIN32_LEAN_AND_MEAN

#include <winsock2.h>
#include <Ws2tcpip.h>
#include <stdio.h>

// Link with ws2_32.lib
#pragma comment(lib, "Ws2_32.lib")

int main()
{

    // Declare some variables
    WSADATA wsaData;

    int iResult = 0;            // used to return function results

    // the listening socket to be created
    SOCKET ListenSocket = INVALID_SOCKET;

    // The socket address to be passed to bind
    sockaddr_in service;

    //----------------------
    // Initialize Winsock
    iResult = WSAStartup(MAKEWORD(2, 2), &wsaData);
    if (iResult != NO_ERROR) {
        printf("Error at WSAStartup()\n");
        return 1;
    }
    //----------------------
    // Create a SOCKET for listening for 
    // incoming connection requests
    ListenSocket = socket(AF_INET, SOCK_STREAM, IPPROTO_TCP);
    if (ListenSocket == INVALID_SOCKET) {
        printf("socket function failed with error: %u\n", WSAGetLastError());
        WSACleanup();
        return 1;
    }
    //----------------------
    // The sockaddr_in structure specifies the address family,
    // IP address, and port for the socket that is being bound.
    service.sin_family = AF_INET;
    service.sin_addr.s_addr = inet_addr("127.0.0.1");
    service.sin_port = htons(2620);

    //----------------------
    // Bind the socket.
    iResult = bind(ListenSocket, (SOCKADDR *) &service, sizeof (service));
    if (iResult == SOCKET_ERROR) {
        printf("bind failed with error %u\n", WSAGetLastError());
        closesocket(ListenSocket);
        WSACleanup();
        return 1;
    }
    else
        wprintf("bind returned success\n");

    WSACleanup();
    return 0;
}

从上面代码可以看出，在调用bind函数时，传入的是sockaddr_in结构体对象地址，然后强转成SOCKADDR*。

对于Windows C++程序员，在使用系统API函数遇到问题时，要会到MSDN上查看函数声明、参数含义以及函数的remarks说明，这是基本的要求！

3.2、编写演示代码进行说明

       此处不便展示项目中的相关模块和接口，也为了方便日后的视频课程的讲解，我特意写了一些测试代码，来讲述整个问题的监测过程。

       我在测试程序启动时调用bind函数绑定2620端口号，相关代码如下所示：

    // Declare some variables
    WSADATA wsaData;

    int iResult = 0;            // used to return function results

    // the listening socket to be created
    SOCKET ListenSocket = INVALID_SOCKET;

    // The socket address to be passed to bind
    sockaddr_in service;

    //----------------------
    // Initialize Winsock
    iResult = WSAStartup(MAKEWORD(2, 2), &wsaData);
    if (iResult != NO_ERROR) {
        printf("Error at WSAStartup()\n");
        return 1;
    }
    //----------------------
    // Create a SOCKET for listening for 
    // incoming connection requests
    ListenSocket = socket(AF_INET, SOCK_STREAM, IPPROTO_TCP);
    if (ListenSocket == INVALID_SOCKET) {
        printf("socket function failed with error: %u\n", WSAGetLastError());
        WSACleanup();
        return 1;
    }
    //----------------------
    // The sockaddr_in structure specifies the address family,
    // IP address, and port for the socket that is being bound.
    service.sin_family = AF_INET;
    service.sin_addr.s_addr = inet_addr("127.0.0.1");
    service.sin_port = htons(2620);

    //----------------------
    // Bind the socket.
    iResult = bind(ListenSocket, (SOCKADDR *) &service, sizeof (service));

3.3、使用API Monitor进行监测 

       因为是在程序启动过程中绑定端口的，所以需要使用API Monitor工具启动目标程序，要从程序启动时就开始监控。

首先，在左边的函数列表中搜索到bind函数，因为可能很多函数名称中都包含bind子串，所以搜索时为了快速搜到目标函数，可以勾上“全字匹配”和“大小写匹配”。

        然后，点击“Monitor New Process”，找到目标程序的路径，启动程序并开始监测。程序在运行过程中调用了bind函数，就会显示出对应的记录（如果有多次调用，会有多个记录与之对应），如下所示：

在我们的项目软件中，实际上监测到了多条记录，我们如何确定哪条记录操作的端口号是2620呢？

       这时我们就需要查看调用bind函数时传入的参数了！选中某条记录时，Parameters窗口中就会显示调用该函数时传入的参数值，并且Call Stack窗口中会显示所在线程的函数调用堆栈。

       这个地方注意一下，Parameters窗口中显示的是SOCKADDR*指针，但我们在调用bind函数时传入的是sockaddr_in结构体对象数据，其中端口是设置到该结构体的sin_port字段中的，那么sin_port结构体和SOCKADDR结构体有什么的对应关系呢？我们可以在Visual Studio中go到这两个结构体的定义处，如下所示：

//
// Structure used to store most addresses.
//
typedef struct sockaddr {

#if (_WIN32_WINNT < 0x0600)
    u_short sa_family;
#else 
    ADDRESS_FAMILY sa_family;           // Address family.
#endif //(_WIN32_WINNT < 0x0600)

    CHAR sa_data[14];                   // Up to 14 bytes of direct address.
} SOCKADDR, *PSOCKADDR, FAR *LPSOCKADDR;
//
// IPv4 Socket address, Internet style
//

typedef struct sockaddr_in {

#if(_WIN32_WINNT < 0x0600)
    short   sin_family;    
#else //(_WIN32_WINNT < 0x0600)
    ADDRESS_FAMILY sin_family;
#endif //(_WIN32_WINNT < 0x0600)

    USHORT sin_port;
    IN_ADDR sin_addr;
    CHAR sin_zero[8];
} SOCKADDR_IN, *PSOCKADDR_IN;

这两个结构体的第一个字段都是sin_family，sockaddr_in结构体的第二个字段就是存放端口号的sin_port字段，所以在调用bind函数将sockaddr_in结构体对象地址强转成SOCKADDR对象地址，那么端口号实际上是对应到SOCKADDR结构体中的sa_data数组内存，端口号占两个字节，所以端口号值是存放在sa_data[0]和sa_data[1]内存中，所以我们在Parameters窗口中查看sa_data[0]和sa_data[1]内存中的值，看能否和2620端口号对应起来。

       我们可以使用Windows系统自带的计算器工具将十进制的2620转成16进制数据：

所以两个字节存放的数据为0x0A和0x3C，转换成10进制就是10和60，这样拿这两个值到Parameters窗口中比对，就能确定对应的条目了。

       确定对应的条目后，到Call Stack窗口中查看函数调用堆栈，就可以确定是哪个模块启动了2620端口了。

4、使用API Monitor工具的注意事项

4.1、如何在Call Stack窗口中查看到更多的函数调用？

        注意，API Monitor的函数调用堆栈窗口中默认只显示5行最近的函数调用，如果要显示更多的函数调用，需要到设置中去设置一下。具体的入口是，点击菜单栏中的Tools -> Options，在打开的设置窗口中，点击Monitoring按钮，显示对应的子页面，在页面中可以修改函数调用堆栈中显示的条目数目：

      此处注意一下，API Monitor工具不支持加载pdb文件，不像Process Explorer和Process Monitor那样支持加载pdb文件！ 

4.2、如果Start Monitoring失败怎么办？

       如果在左下角的进程列表中右键点击目标进程，在弹出的右键菜单中点击“Start Monitoring”开始监控，结果报错，提示开启监控失败。可能是目标进程是以管理员权限运行的，而当前的API Monitor没有管理员权限运行，而是以标准用户权限运行的。因为目标进程的运行权限（管理员权限）与API Monitor（标准用户权限）不对等，所以在低权限的API Monitor中不能操作高权限的目标进程。

       解决办法是，关闭当前的API Monitor程序，然后右键以管理员权限重新启动API Monitor，即可开启对目标进程的监控了。

5、最后

       本例通过API Monitor去监控程序对bind函数的调用，去巧妙定位启用2620端口的模块。文中详细讲解了API Monitor定位问题的完整过程，希望能给大家提供一个借鉴或参考。

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.coloradmin.cn/o/448181.html

如若内容造成侵权/违法违规/事实不符，请联系多彩编程网进行投诉反馈，一经查实，立即删除！

相关文章

[SpringBoot框架]如何使用SpringBoot框架

[SpringBoot框架]如何使用SpringBoot框架

SpringBoot框架的好处 如果不使用SpringBoot框架创建工程&#xff0c;而是创建一个Maven空工程,&#xff0c;在工程里面引入其它框架的时候&#xff0c;比如SSM&#xff0c;需要在pom.xml配置文件中添加框架相关的依赖&#xff0c;并且个别的框架还需要配置文件&#xff0c;在配…
阅读更多...
nodejs+vue+elementui钢琴乐器培训课程报名管理系统

nodejs+vue+elementui钢琴乐器培训课程报名管理系统

1绪论 5 1.1项目研究的背景 5 1.2开发意义 5 1.3项目研究内容 5 2开发技术介绍 6 2.1 B/S架构 6 前端技术&#xff1a;nodejsvueelementui,视图层其实质就是vue页面&#xff0c;通过编写vue页面从而展示在浏览器中&#xff0c;编写完成的vue页面要能够和控制器类进行交互&…
阅读更多...
TCP协议在IM场景中涉及核心问题以及解决方案梳理

TCP协议在IM场景中涉及核心问题以及解决方案梳理

1. TCP协议是一种可靠的协议&#xff0c;但是在实际应用中&#xff0c;仍然需要应用程序来处理一些细节&#xff0c;以确保数据能够按照预期的方式传输。一些业务可能需要在TCP层面之上实现自己的可靠性机制&#xff0c;例如在应用层实现消息确认机制&#xff0c;以确保每个消息…
阅读更多...
Seata强一致性事务模式XA的设计理念

Seata强一致性事务模式XA的设计理念

承接上文分布式事务Seata-AT模式 XA规范是什么? 是分布式事务处理DTP&#xff08;Distributed Transaction Processing&#xff09;的标准。是描述全局的事务管理器和局部的资源管理器之间的接口规范。允许多个资源&#xff08;如数据库、应用服务、消息队列&#xff09;在同…
阅读更多...
WPF教程（七）--依赖属性（3）--附加属性

WPF教程（七）--依赖属性（3）--附加属性

一、 只读依赖属性 以前在对于非WPF的功能来说&#xff0c;对于类的属性的封装中&#xff0c;经常会对那些希望暴露给外界只读操作的字段封装成只读属性&#xff0c;同样在WPF中也提供了只读属性的概念&#xff0c;如一些 WPF控件的依赖属性是只读的&#xff0c;它们经常用于报…
阅读更多...
jsp+springboot基于ssm的人才招聘求职网站推荐模拟考试系统java idea

jsp+springboot基于ssm的人才招聘求职网站推荐模拟考试系统java idea

登录需要随机数字验证码 管理员&#xff1a; 招聘管理 求职信息管理 &#xff0c; 招聘信息管理 人员管理 管理注册的用户进行审核操作 公告管理 发布公告新闻 &#xff08;公告我想不到啥意思&#xff0c;可修改或增加别的&#xff09; 个人信息 修改个人信息 招聘者&am…
阅读更多...
【沐风老师】3dMax填充地形网格插件使用方法详解

【沐风老师】3dMax填充地形网格插件使用方法详解

3dMax填充地形网格插件使用方法 3dMax填充地形网格插件&#xff0c;它从等高线或现有网格创建和优化地形曲面。基于四边形的输出允许更容易的后期重构&#xff0c;例如使用推/拉绘制。常规的面大小可以减少渲染问题&#xff08;GI、置换&#xff09;&#xff0c;并且可以在其上…
阅读更多...
如何实现Windows RDP 远程桌面异地跨网连接

如何实现Windows RDP 远程桌面异地跨网连接

Windows RDP远程桌面的应用非常广泛。远程桌面协议(RDP)是一个多通道(multi-channel)的协议&#xff0c;让使用者(所在计算机称为用户端或本地计算机)连上提供微软终端机服务的计算机(称为服务端或远程计算机)。大部分的Windows版本都有用户端所需软件&#xff0c;有些其他操作…
阅读更多...
【LeetCode】剑指 Offer 65. 不用加减乘除做加法 p310 -- Java Version

【LeetCode】剑指 Offer 65. 不用加减乘除做加法 p310 -- Java Version

题目链接&#xff1a;https://leetcode.cn/problems/bu-yong-jia-jian-cheng-chu-zuo-jia-fa-lcof/ 1. 题目介绍&#xff08;65. 不用加减乘除做加法&#xff09; 写一个函数&#xff0c;求两个整数之和&#xff0c;要求在函数体内不得使用 “”、“-”、“*”、“/” 四则运算…
阅读更多...
C语言入门篇——输入输出篇

C语言入门篇——输入输出篇

目录 1、printf()函数 1.1、printf()函数中的标记 1.2、输出最小宽度&#xff08;width&#xff09; 1.3、精度&#xff08;.precision&#xff09; 2、scanf()函数 2.1、scanf(“输入控制符”, 输入参数) 2.2、scanf(“输入控制符非输入控制符”, 输入参数); 2.3、字符…
阅读更多...
docker简单教程（二）启动服务，实现简单的网站

docker简单教程（二）启动服务，实现简单的网站

docker简单教程&#xff08;二&#xff09;启动服务 文章目录 docker简单教程&#xff08;二&#xff09;启动服务1&#xff1a;创建index.html2&#xff1a;创建Dockerfile3&#xff1a;构建4&#xff1a;启动5&#xff1a;访问6&#xff1a;下一篇将介绍一些常用的操作 这篇我…
阅读更多...
Ae 脚本：TypeMonkey 动态文本动画

Ae 脚本：TypeMonkey 动态文本动画

使用 TypeMonkey 脚本可以快速生成带有摄像机动画的动态文本 Kinetic text效果&#xff0c;简单快捷&#xff0c;无需繁琐的关键帧控制。 经典网络案例&#xff1a;倒鸭子 ◆ ◆ ◆ 使用方法 一般操作流程 新建合成&#xff0c;并确定好合成的持续时间。或者&#xff0c;设置…
阅读更多...
句子改写神器-文案自动改写的免费软件

句子改写神器-文案自动改写的免费软件

AI改写软件&#xff1a;让你的写作更加轻松高效 现代社会中&#xff0c;写作已经成为了我们各行各业必不可少的一部分。无论是文章、报道、论文还是其他各类文本&#xff0c;都需要花费大量的时间和精力来撰写。而且&#xff0c;在写作过程当中&#xff0c;我们还需要进行反复…
阅读更多...
【Java】『蓝桥杯』10道编程题及答案（二）

【Java】『蓝桥杯』10道编程题及答案（二）

系列文章 【Java】『蓝桥杯』10道编程题及答案&#xff08;一&#xff09; 本文链接&#xff1a;https://blog.csdn.net/youcheng_ge/article/details/130223115 【Java】『蓝桥杯』10道编程题及答案&#xff08;二&#xff09; 本文链接&#xff1a;https://blog.csdn.net/y…
阅读更多...
Python 代码打造小 AI ，罗列博文笔记总索引列表，自动生成“我的博文笔记总索引”博文 HTML5 源码文本

Python 代码打造小 AI ，罗列博文笔记总索引列表，自动生成“我的博文笔记总索引”博文 HTML5 源码文本

Python 代码打造小 AI &#xff0c;获取笔记信息&#xff0c;自动阅读量降序编排索引列表&#xff0c;生成 HTML5 源码文本。 【学习的细节是欢悦的历程】 Python 官网&#xff1a;https://www.python.org/ Free&#xff1a;大咖免费“圣经”教程《 python 完全自学教程》&…
阅读更多...
依赖自动装配

依赖自动装配

自动配置 前面花了大量的时间把Spring的注入去学习了下&#xff0c;总结起来就一个字麻烦。 问:麻烦在哪? 答:配置文件的编写配置上。 问:有更简单方式么? 答:有&#xff0c;自动配置 什么是自动配置以及如何实现自动配置&#xff0c;就是接下来要学习的内容&#xf…
阅读更多...
English Learning - L2-16 英音地道语音语调 语调 2023.04.20 周四

English Learning - L2-16 英音地道语音语调 语调 2023.04.20 周四

English Learning - L2-16 英音地道语音语调 语调 2023.04.20 周四 语调降调升调降升升降 语调如何正确的表情达意用降调的句型用升调的句型用降升调的句型升降调 & 平调 回顾词重音句重音弱读语音语调四步法 存档音频 语调 降调 重音音节降 升调 一般表示不确定&#xf…
阅读更多...
进制转换—包含整数和小数部分转换（二进制、八进制、十进制、十六进制）手写版，超详细

进制转换—包含整数和小数部分转换（二进制、八进制、十进制、十六进制）手写版，超详细

目录 1.进制转换必备知识&#xff1a; 1.1 二进制逢2进1 8进制逢8进1 10进制逢10进1 16进制逢16进1 1.2为了区分二、八、十、十六进制&#xff0c;我们通常在数字后面加字母进行区分 2. 二进制与八进制、十六进制相互转换 2.1 二进制转八进制 2.2 八…
阅读更多...
移动电视双天线分集接收技术解决方案

移动电视双天线分集接收技术解决方案

移动电视双天线分集接收技术 随着DVB-T在手机电视、车载电视、楼宇电视、地铁电视等户外广播领域内的发展&#xff0c;在这些接收范围内&#xff0c;多径衰落、多普勒频移等小范围衰落是不可避免的问题&#xff0c;解决这些衰落和干扰成为倍受关注的问题。为了解决衰落&#x…
阅读更多...
ROS学习第二十三节——TF坐标变换实操

ROS学习第二十三节——TF坐标变换实操

1.综述 需求描述: 程序启动之初: 产生两只乌龟&#xff0c;中间的乌龟(A) 和 左下乌龟(B), B 会自动运行至A的位置&#xff0c;并且键盘控制时&#xff0c;只是控制 A 的运动&#xff0c;但是 B 可以跟随 A 运行 结果演示: 实现分析: 乌龟跟随实现的核心&#xff0c;是乌龟…
阅读更多...
推荐文章
最新文章

Copyright @ 2022~2023