[原创] c-sktrace：基于 C 实现的 sktrace 性能优化 demo-Android安全-看雪安全社区

# c-sktrace：基于 C 实现的 sktrace 性能优化 demo

## 前言

这是一个学习性质的项目，研究如何通过 Frida 的 CModule 实现高性能指令追踪。虽然 Frida 官方已经有了 <a href="elink@76eK9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6Y4K9i4c8Z5N6h3u0Q4x3X3g2U0L8$3#2Q4x3V1k6X3M7X3W2V1j5g2)9J5c8X3k6J5K9h3c8S2i4K6u0V1K9i4c8J5j5h3y4W2">frida-itrace</a> 这个成熟方案，但直接用 CModule 手写可以更深入理解 Stalker 的工作原理和性能优化思路。

项目地址：65dK9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6Y4K9i4c8Z5N6h3u0Q4x3X3g2U0L8$3#2Q4x3V1k6$3N6%4N6%4i4K6u0V1k6s2u0G2K9h3c8Q4x3V1k6U0i4K6u0V1M7$3E0@1M7X3q4U0k6b7`.`.

---

## 解决了什么问题

原始的 JavaScript 实现在进行密集指令追踪时存在严重的卡顿问题，主要体现在：

- **热代码路径卡顿**：追踪循环体、频繁调用的函数时响应缓慢
- **数据输出延迟**：大量指令执行后才能看到结果
- **目标进程被拖慢**：被追踪的应用明显变慢甚至无响应

通过 C 实现后，性能提升约两三个数量级（没细测，不过提升明显），实现了无卡顿的实时追踪。

---

## 性能瓶颈分析

### JS 版本执行流程

```javascript
function stalkerTraceRange(tid, base, size) {
    Stalker.follow(tid, {
        transform: (iterator) => {
            do {
                iterator.keep();
                if (isModuleCode) {
                    // ! 性能问题：每条指令都注册 JS 回调
                    iterator.putCallout((context) => {
                        send({...})  // Native → JS 切换
                    })
                }
            } while (iterator.next() !== null);
        }
    })
}
```

### Runtime 阶段开销

```
目标代码执行到被 trace 的指令
    ↓
Callout 触发：Native 代码暂停
    ↓ 切换到 JS 引擎
执行 JS 回调函数
    ↓ JSON 序列化 context
调用 send()（进程间通信）
    ↓ 切回 Native
恢复目标代码执行
```

**示例**：追踪一个执行 10,000 次的循环
- 每次循环 before + after callout = 2 次切换
- **总计：20,000 次 Native ↔ JS 引擎切换**

### 引擎切换的开销

每次切换需要：
1. 保存/恢复 CPU 上下文（所有寄存器）
2. 切换 JS 引擎执行上下文
3. 数据序列化/反序列化（`context` 对象 → JSON）
4. 进程间通信

**还是很大的性能消耗**

---

## 解决方案：CModule + Python 异步处理

### 核心思路

既然无法消除所有 JS 交互，那就：
1. **C 层**：只负责快速读取并输出寄存器值
2. **Python 层**：异步接收数据并进行比较、统计

### 优势

- ✅ 消除 JSON 序列化开销
- ✅ 使用简洁的管道分隔格式
- ✅ C 层只做读取，稳定高效
- ✅ Python 异步处理不阻塞 trace

---

## 实现细节

### 1. Transform 函数

```c
void transform(GumStalkerIterator *iterator,
 GumStalkerOutput *output,
 gpointer user_data)
{
 cs_insn *insn;
 gpointer base = *(gpointer*)user_data;
 gpointer end = *(gpointer*)(user_data + sizeof(gpointer));
 
 while (gum_stalker_iterator_next(iterator, &insn))
 {
 gboolean in_target = (gpointer)insn->address >= base && 
 (gpointer)insn->address < end;
 
 if(in_target)
 {
 // 输出指令信息（tab 分隔）
 log("%p\t%s\t%s", (gpointer)insn->address, 
 insn->mnemonic, insn->op_str);
 
 // 注册 before callout
 gum_stalker_iterator_put_callout(iterator, 
 on_arm64_before, 
 (gpointer)insn->address, 
 NULL);
 }
 
 gum_stalker_iterator_keep(iterator);
 
 if(in_target) 
 {
 // 注册 after callout
 gum_stalker_iterator_put_callout(iterator, 
 on_arm64_after, 
 (gpointer)insn->address, 
 NULL);
 }
 }
}
```

### 2. Callout 函数

```c
static void
on_arm64_before(GumCpuContext *cpu_context, gpointer user_data)
{
    // 空 - 不做任何操作
}

static void
on_arm64_after(GumCpuContext *cpu_context, gpointer user_data)
{
    // 输出所有寄存器，Python 端做比较
    // 格式: addr|x0|x1|x2|...|x28|fp|lr|sp|pc
    if (cpu_context) {
        log("%p|%llx|%llx|%llx|%llx|%llx|%llx|%llx|%llx|%llx|%llx|"
            "%llx|%llx|%llx|%llx|%llx|%llx|%llx|%llx|%llx|%llx|"
            "%llx|%llx|%llx|%llx|%llx|%llx|%llx|%llx|%llx|"
            "%llx|%llx|%llx|%llx",
            user_data,
            cpu_context->x[0], cpu_context->x[1], cpu_context->x[2], cpu_context->x[3],
            cpu_context->x[4], cpu_context->x[5], cpu_context->x[6], cpu_context->x[7],
            cpu_context->x[8], cpu_context->x[9], cpu_context->x[10], cpu_context->x[11],
            cpu_context->x[12], cpu_context->x[13], cpu_context->x[14], cpu_context->x[15],
            cpu_context->x[16], cpu_context->x[17], cpu_context->x[18], cpu_context->x[19],
            cpu_context->x[20], cpu_context->x[21], cpu_context->x[22], cpu_context->x[23],
            cpu_context->x[24], cpu_context->x[25], cpu_context->x[26], cpu_context->x[27],
            cpu_context->x[28],
            cpu_context->fp, cpu_context->lr, cpu_context->sp, cpu_context->pc);
    }
}
```

### 3. 数据传输格式

通过不同的分隔符区分两种消息：

**指令信息**（tab 分隔）：
```
0x75669d71c0	add	x0, x1, x2
```

**寄存器信息**（管道分隔，34 个字段）：
```
0x75669d71c0|f1|7828a7654c|7828a7654c|7fdce415f8|30|7fdce414a0|...|7fdce41630|75669d71c0
```

### 4. Python 端处理

```python
def on_message(self, payload):
    type = payload['type']
    
    if type == 'c_output':
        message = payload['message']
        
        if '|' in message:
            # 寄存器信息
            parts = message.split('|')
            if len(parts) == 34:
                addr = parts[0]
                x_regs = [int(parts[i], 16) for i in range(1, 30)]
                fp = int(parts[30], 16)
                lr = int(parts[31], 16)
                sp = int(parts[32], 16)
                pc = int(parts[33], 16)
                
                ctx = Arm64Ctx(pc, sp, *x_regs, fp, lr)
                self.inst_dict[addr].add_execed_ctx(ctx)
                self.inst_dict[addr].cal_regs_change(self.pre_ctx, ctx)
                self.pre_ctx = ctx
                
        elif '\t' in message:
            # 指令信息
            parts = message.split('\t')
            if len(parts) == 3:
                addr, mnem, op = parts
                inst = Inst(addr, addr, 4, mnem, op)
                self.inst_dict[addr] = inst
```

---

## 性能对比

| 场景 | JS 实现 | C 实现 |
|------|---------|--------|
| Transform 阶段 | 每条指令切换一次 | **在 C 层完成，零切换** |
| Runtime Callout | 每次执行切换一次 | **在 C 层完成，零切换** |
| 数据输出 | 每条指令 JSON 序列化 + send() | **简洁文本格式，批量输出** |
| 实际体验 | 密集 trace 时卡顿明显 | **无卡顿，实时输出** |

**性能提升**：约两三个数量级（没细测，不过提升明显）

---

## 总结

**为什么慢？**
- 每条指令执行时 Native ↔ JS 切换开销巨大
- 热代码路径中累积成灾难性性能损失

**怎么改？**
- 用 CModule 把 transform 和 callout 实现为 C 代码
- C 层只做数据采集，Python 层做复杂处理
- 保持在 Native 层执行，消除引擎切换

**效果？**
- 密集 trace 场景下无卡顿
- 实时输出响应快速
- 目标进程基本不受影响

---

## 参考资料

- **源项目地址**: 0b9K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6Y4K9i4c8Z5N6h3u0Q4x3X3g2U0L8$3#2Q4x3V1k6T1L8h3q4^5x3e0t1I4i4K6u0r3M7$3E0@1M7X3q4U0k6b7`.`.
- **项目地址**: 1ffK9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6Y4K9i4c8Z5N6h3u0Q4x3X3g2U0L8$3#2Q4x3V1k6$3N6%4N6%4i4K6u0V1k6s2u0G2K9h3c8Q4x3V1k6U0i4K6u0V1M7$3E0@1M7X3q4U0k6b7`.`.
- **Frida 官方 itrace**: 406K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6Y4K9i4c8Z5N6h3u0Q4x3X3g2U0L8$3#2Q4x3V1k6X3M7X3W2V1j5g2)9J5c8X3k6J5K9h3c8S2i4K6u0V1K9i4c8J5j5h3y4W2
- **Frida C API**: 2bcK9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6X3M7X3W2V1j5g2)9J5k6i4u0W2i4K6u0r3k6r3!0U0M7#2)9J5c8X3y4Q4x3X3c8S2M7r3W2Q4x3V1j5`.
- **Frida Stalker**: 772K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6X3M7X3W2V1j5g2)9J5k6i4u0W2i4K6u0r3k6r3!0U0M7#2)9J5c8X3A6S2N6X3q4K6j5%4u0A6M7s2c8Q4x3X3c8S2M7r3W2Q4x3V1k6Q4x3U0y4K6N6r3q4D9K9$3g2J5

回复或点赞可查看完整内容

冰与火的战歌：Windows内核攻防实战高级班！从零到实战，融合AI与Windows内核攻防全技术栈，打造具备自动化能力的内核开发高手。

#基础理论 #逆向分析 #程序开发 #工具脚本

上传的附件：

ollvm9.apk （1.60MB，31次下载）

最新回复 (64) 1 2 3 ▶
KanXue_NG 雪币： 687 能力值： ( LV1，RANK：0 ) 在线值：发帖 7 回帖 100 粉丝 66 关注私信	KanXue_NG 2 楼学习学习 2025-10-26 20:40 0
MaYil 雪币： 9448 活跃值： (8077) 能力值： ( LV2，RANK：10 ) 在线值：发帖 1 回帖 485 粉丝 2 关注私信	MaYil 3 楼感谢分享 2025-10-26 21:35 0
cpannn 雪币： 0 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 75 粉丝 0 关注私信	cpannn 4 楼区别是什么 2025-10-26 21:47 0
mb_ldbucrik 雪币： 6 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 708 粉丝 7 关注私信	mb_ldbucrik 5 楼感谢分享 2025-10-26 23:39 0
mb_xxezghuh 雪币： 229 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 13 粉丝 0 关注私信	mb_xxezghuh 6 楼学习学习 2025-10-27 05:35 0
丶咖啡猫丶雪币： 2769 活跃值： (3991) 能力值： ( LV2，RANK：10 ) 在线值：发帖 1 回帖 178 粉丝 4 关注私信	丶咖啡猫丶 7 楼 666 2025-10-27 09:21 0
西瓜帅雪币： 1858 活跃值： (2998) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 78 粉丝 1 关注私信	西瓜帅 8 楼学习徐诶 2025-10-27 09:22 0
mb_irhdtnzm 雪币： 23 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 158 粉丝 0 关注私信	mb_irhdtnzm 9 楼 1 2025-10-27 09:38 0
Ram98 雪币： 282 活跃值： (1641) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 73 粉丝 1 关注私信	Ram98 10 楼 666 2025-10-27 09:49 0
iBa0 雪币： 1901 活跃值： (5948) 能力值： ( LV4，RANK：40 ) 在线值：发帖 6 回帖 493 粉丝 37 关注私信	iBa0 11 楼看看 2025-10-27 09:50 0
wx_范迪塞尔雪币： 5 活跃值： (4540) 能力值： ( LV2，RANK：10 ) 在线值：发帖 21 回帖 128 粉丝 6 关注私信	wx_范迪塞尔 12 楼原理还是没改变，跟踪的指令pc指向的地址都变成new出来的了 2025-10-27 10:14 0
Imxz 雪币： 110 活跃值： (9576) 能力值： ( LV2，RANK：10 ) 在线值：发帖 6 回帖 775 粉丝 9 关注私信	Imxz 13 楼 6 2025-10-27 10:17 0
mb_cbgtaveo 雪币： 292 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 259 粉丝 0 关注私信	mb_cbgtaveo 14 楼 6666666666666 2025-10-27 10:42 0
einsteinzl 雪币： 439 活跃值： (1049) 能力值： ( LV3，RANK：20 ) 在线值：发帖 15 回帖 63 粉丝 0 关注私信	einsteinzl 15 楼 666 2025-10-27 10:42 0
kingking888 雪币： 3235 活跃值： (6337) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 302 粉丝 6 关注私信	kingking888 16 楼 666 2025-10-27 13:04 0
mb_qimctavn 雪币： 5329 活跃值： (6790) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 402 粉丝 1 关注私信	mb_qimctavn 17 楼 6 2025-10-27 13:08 0
夏洛魂雪币： 570 活跃值： (4795) 能力值： ( LV3，RANK：37 ) 在线值：发帖 2 回帖 49 粉丝 0 关注私信	夏洛魂 18 楼看看 2025-10-27 13:47 0
xianhuimin 雪币： 9341 活跃值： (6228) 能力值： ( LV2，RANK：10 ) 在线值：发帖 5 回帖 231 粉丝 2 关注私信	xianhuimin 19 楼学习，感谢分享 2025-10-27 13:52 0
lbunknow 雪币： 24 活跃值： (657) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 54 粉丝 0 关注私信	lbunknow 20 楼 hh 2025-10-27 15:37 0
随风而行aa 雪币： 7773 活跃值： (25239) 能力值： ( LV12，RANK：550 ) 在线值：发帖 39 回帖 432 粉丝 1587 关注私信	随风而行aa 10 21 楼看看 2025-10-27 15:55 0
bobbiedev 雪币： 217 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 13 粉丝 0 关注私信	bobbiedev 22 楼看看 2025-10-27 16:04 0
mb_wuevwbec 雪币： 267 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 48 粉丝 0 关注私信	mb_wuevwbec 23 楼看看 2025-10-27 17:52 0
fangliangz 雪币： 5717 活跃值： (4104) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 112 粉丝 1 关注私信	fangliangz 24 楼看看 2025-10-28 09:05 0
huangjw 雪币： 6750 活跃值： (11967) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 515 粉丝 2 关注私信	huangjw 25 楼 66666 2025-10-28 09:13 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复