NtTrace & ApiMonitor

Acum cateva zile m-am jucat putin cu doua tool-uri foarte interesante ce pot fi folosite pentru a investiga unele probleme mai complexe.

Primul se numeste NtTrace si poate fi folosit pentru a urmari anumite call-uri ale sistemului de operare, si anume API-urile native din ntdll.dll.

Sau sa vedeti stack-ul unui proces:

Daca procesul urmarit nu foloseste aceste API-uri atunci, nu veti vedea aici nimic. De regula activitatile din kernel pot fi vazute aici.

Ceva documentatie a acestor functii gasiti pe http://undocumented.ntinternals.net/

Celalalt tool este ApiMonitor, vine cu interfata grafica si va permite sa urmariti mult mai multe API-uri si sa efectuati o gramada de investigatii.

Bineinteles ca este si mult mai complex, asa ca necesita ceva learning inainte sa incepeti sa il folositi.