[发明专利]一种调用函数的分析方法及装置

权利要求书

1.一种调用函数的分析方法，其特征在于，包括：

通过挂起的方式创建分析进程，所述分析进程中包含有预设容量的动态内存；

将预设分析代码载入所述动态内存中；

创建内存映射文件以及统计结果事件，所述内存映射文件中存储有调用函数的函数信息；

获取调用函数对应的函数信息；

当程序执行至所述调用函数时，根据预设分析代码对所述函数信息所对应调用函数的调用情况进行分析；

生成调用函数的分析结果；

其中，所述根据预设分析代码对所述函数信息所对应调用函数的调用情况进行分析包括：

传递所述分析进程的标识信息，根据所述标识信息加载所述内存映射文件以及统计结果事件；

根据所述内存映射文件将程序执行的起始地址添加至所述预设分析代码中，当所述分析进程执行时跳转至所述程序执行的起始地址；

加载需要注入至所述分析进程的动态链接库，根据所述动态链接库中的监控函数块对所述调用函数进行分析，得到调用函数的调用信息；

将所述调用函数的调用信息实时的保存到内存映射文件当中。

2.根据权利要求1所述的方法，其特征在于，所述根据所述动态链接库中的监控函数块对所述调用函数进行分析，得到调用函数的调用信息包括：

启动所述动态链接库中的函数hook被保护程序的函数块作为监控函数块；

根据所述函数hook被保护程序的函数块监控所述调用函数的调用情况，得到所述调用函数的调用信息。

3.根据权利要求2所述的方法，其特征在于，在所述启动所述动态链接库中的函数hook被保护程序的函数块作为监控函数块之前，所述方法还包括：

根据所述调用函数的函数信息获取所述调用函数的函数类型；

当所述调用函数的函数类型为可直接执行函数时，通过模块句柄载入动态链接库；

当所述调用函数的函数类型为不可直接执行函数时，通过加载模块载入动态链接库。

4.根据权利要求2所述的方法，其特征在于，所述根据所述函数hook被保护程序的函数块监控所述调用函数的调用情况，得到所述调用函数的调用信息包括：

当调用函数被调用时，通过所述函数hook被保护的函数块获取所述调用函数的地址；

根据所述调用函数的地址遍历所述内存映射文件中存储的调用函数的相对虚拟地址；

更新匹配结果相一致的调用函数对应的调用信息，将所述调用信息保存至所述内存映射文件中。

5.根据权利要求1-4中任一项所述的方法，其特征在于，所述获取调用函数的函数信息包括：

启动所述分析进程，通过所述内存映射文件获取所述调用函数的函数信息。

6.一种调用函数的分析装置，其特征在于，包括：

第一创建单元，用于通过挂起的方式创建分析进程，所述分析进程中包含有预设容量的动态内存；

载入单元，用于将预设分析代码载入所述动态内存中；

第二创建单元，用于创建内存映射文件以及统计结果事件，所述内存映射文件中存储有调用函数的函数信息；

获取单元，用于获取调用函数对应的函数信息；

分析单元，用于当程序执行至所述调用函数时，根据预设分析代码对所述函数信息所对应调用函数的调用情况进行分析；

生成单元，用于生成调用函数的分析结果；

其中，所述分析单元包括：

加载模块，用于传递所述分析进程的标识信息，根据所述标识信息加载所述分析进程中的内存映射文件以及统计结果事件；

添加模块，用于根据所述内存映射文件将程序执行的起始地址添加至所述预设分析代码中，当所述分析进程执行时跳转至所述程序执行的起始地址；

分析模块，用于加载需要注入至所述分析进程的动态链接库，根据所述动态链接库中的监控函数块对所述调用函数进行分析，得到调用函数的调用信息；

保存模块，用于将所述调用函数的调用信息实时的保存到内存映射文件当中。