Как я могу отследить определенный цикл в двоичном инструментировании с помощью инструмента булавки?

адрес инструкций менялся при каждом запуске, как я могу найти конкретную инструкцию или конкретный цикл, даже если они меняются при каждом запуске?

Вероятно, это связано с тем, что у вас включен ASLR (который включен по умолчанию в Ubuntu). Если вы хотите, чтобы анализируемая программа загружалась по одному и тому же адресу при каждом запуске, вы можете:

1) Отключить ASLR:

• Отключите его для всей системы: sysctl -w kernel.randomize_va_space=0 как объяснено здесь.
• Отключите его для каждого процесса: $> setarch $(uname -m) -R /bin/bash как объяснено здесь.

2) Рассчитайте дельту (смещения) в вашем пинтуле:

Для каждого адреса, которым вы управляете, вам нужно использовать RVA (относительный виртуальный адрес). чем полный VA (виртуальный адрес).

Пример:

• Допустим, при первом запуске ваша программа загружается с адреса 0x80000000 (это «базовый адрес»), а цикл начинается с адреса 0x80000210.
• При втором запуске программа загружается с адреса 0x90000000 ("Базовый адрес"), а цикл начинается с адреса 0x90000210.

Просто рассчитайте смещения циклов от базового адреса:

• Base_Address - Program_Address = смещение
• 0x80000210 - 0x80000000 = 0x210
• 0x90000210 - 0x90000000 = 0x210

Поскольку оба результирующих смещения одинаковы, вы знаете, что у вас точно такая же инструкция, независимо от базового адреса программы.

Как это сделать в пинтуле:

• Получив адрес (инструкции), используйте IMG_FindByAddress чтобы найти соответствующее изображение (модуль).
• На изображении используйте IMG_LowAddress чтобы получить базовый адрес модуля.
• Вычтите базу модуля из инструкции: у вас есть RVA.

Теперь вы можете сравнить RVA между ними и посмотреть, совпадают ли они (они также должны быть в одном модуле).

Очевидно, что это не работает для JIT-кода, поскольку JIT-код не имеет исполняемого модуля (например, mmap() [linux] или VirtualAlloc() [windows])...

Наконец, хороший документ (уже старый, но все еще применимый) при обнаружении петли с помощью булавки, если это может вам помочь.