使用Pintool的itrace运行HelloWorld.exe无用户代码eips问题求助

• 默认itrace工具没有配置用户代码过滤规则：多数版本的itrace示例工具不会主动区分系统模块和用户程序代码，Windows程序启动时会先执行系统加载器（ntdll.dll、kernel32.dll）的初始化逻辑，你看到的0x77开头的地址就属于这类系统库的内存区间
• 追踪停止时机过早：如果HelloWorld.exe的代码量极小，默认itrace可能在系统初始化完成、用户代码尚未执行时就结束了记录，导致没有用户代码的eips输出
• 架构不匹配：如果pin工具、itrace.dll的编译架构和HelloWorld.exe的架构不对应（比如32位工具运行64位程序），会导致itrace无法识别用户程序的代码段范围，无法命中对应的指令记录

• 调整itrace启动参数：如果使用的是官方提供的预编译itrace，在命令中追加排除系统模块的参数，修改后的命令如下：
  pin -t itrace.dll --exclude_system_modules 1 -- HelloWorld.exe
  部分版本的itrace对应参数为--follow_executable_only 1或--user_code_only 1，可根据工具实际支持的参数调整
• 修改itrace源码自定义过滤逻辑：如果是自行编译的itrace，新增镜像加载回调，仅记录目标程序的指令：
  1. 注册PIN_AddImageLoadFunction回调，在镜像加载时判断镜像名称是否为目标程序（HelloWorld.exe），记录其代码段的起止虚拟地址
  2. 在指令插桩回调中，判断当前指令地址是否落在目标程序的代码段区间内，符合条件才写入itrace.out
• 确认架构匹配：保证pin工具、itrace.dll、HelloWorld.exe三者同为32位或同为64位，避免架构不兼容导致的记录异常

内容的提问来源于stack exchange，提问作者heyuehui