c++ - 如何使StackWalk64()在x64上成功工作？

我有一个C++工具，它可以将调用堆栈移到某一点。在代码中，它首先获取实时CPU寄存器的拷贝(通过RtlCaptureContext())，然后使用一些“#ifdef ...”块将特定于CPU的寄存器名称保存到stackframe.AddrPC.Offset，... AddrStack ...和中。 .. AddrFrame ...;同样，对于上述3个Addr ...成员中的每个成员，它都设置stackframe.Addr ... .Mode = AddrModeFlat。 (这是我前一段时间遇到的一些示例代码的借用。)

使用x86二进制文件，效果很好。但是，对于x64二进制文件，StackWalk64()会传回伪造的地址。 (第一次调用该API时，唯一公然的伪造的地址值出现在AddrReturn(== 0xFFFFFFFF'FFFFFFFE-aka StackWalk64()的第3个arg，即GetCurrentThread()返回的伪句柄。)如果该API被称为a但是，第二次，所有Addr ...变量都接收到虚假地址。)这与AddrFrame的设置方式无关:

使用推荐的x64“基本/框架指针” CPU寄存器之一:rbp(= 0xf)或rdi(= 0x0)

使用rsp(不希望它能工作，但还是尝试过)

正常设置AddrPC和AddrStack，但将AddrFrame置零(在其他示例代码中可见)

将所有Addr ...值归零，以使StackWalk64()从传入的CPU寄存器上下文(在其他示例代码中看到)填充它们

FWIW，x64与x86上物理堆栈缓冲区的内容也有所不同(当然，在考虑了不同的指针宽度和堆栈缓冲区位置之后)。无论出于何种原因，StackWalk64()仍然应该能够正确遍历调用堆栈-哎呀，调试器仍然能够遍历调用堆栈，并且它似乎在后台使用了StackWalk64()本身。奇怪的是，调试器报告的(正确)调用堆栈包含基地址和返回地址指针值，其组成字节实际上不存在于堆栈缓冲区中(在当前堆栈指针之下或之上)。

(FWIW＃2:鉴于上面的堆栈缓冲区的奇怪之处，我确实尝试禁用ASLR(/dynamicbase:no)以查看是否有所作为，但是二进制文件仍然表现出相同的行为。)

所以。有什么想法为什么在x86上可以正常工作，但在x64上却有问题？关于如何解决它的任何建议？

最佳答案

鉴于fs.sf是STACKFRAME64结构，您需要先将其初始化，然后再将其传递给StackWalk64 :( c是CONTEXT结构)

  DWORD machine = IMAGE_FILE_MACHINE_AMD64;
  RtlCaptureContext (&c);
  fs.sf.AddrPC.Offset = c.Rip;
  fs.sf.AddrFrame.Offset = c.Rsp;
  fs.sf.AddrStack.Offset = c.Rsp;
  fs.sf.AddrPC.Mode = AddrModeFlat;
  fs.sf.AddrFrame.Mode = AddrModeFlat;
  fs.sf.AddrStack.Mode = AddrModeFlat;

此代码取自ACE(自适应通信环境)，该代码改编自CodeProject上的StackWalker项目。