Reverse Engineering & Binary Analysis Basics · บทเรียน

การติดตาม API และการเรียกระบบขณะทำงาน

สังเกตการโต้ตอบของโปรแกรมกับ OS ด้วยฮุก API และเครื่องมือติดตามการเรียกระบบ เพื่อเสริมการดีบักที่ใช้เบรกพอยต์ด้วยการมองเห็นพฤติกรรมของโปรแกรม

การติดตาม API และการเรียกระบบขณะทำงาน เป็นบทเรียน Reverse Engineering & Binary Analysis Basics ฟรีบน CoddyKit นี่คือบทเรียนที่ 4 จากทั้งหมด 4 บทเรียน คุณสามารถอ่านบทเรียนทั้งหมดด้านล่างฟรี — จากนั้นลองปฏิบัติด้วยตัวคุณเองในเบราว์เซอร์พร้อมตัวแก้ไขโค้ดในตัวและติวเตอร์ AI ตลอด 24/7 บทเรียนนี้เป็นส่วนหนึ่งของเส้นทางการเรียน Reverse Engineering & Binary Analysis Basics และความก้าวหน้าของคุณจะซิงค์ข้ามเว็บและแอป CoddyKit คอร์ส Reverse Engineering & Binary Analysis Basics มีบทเรียนทั้งหมด 4 บทเรียน

บางส่วนของบทเรียนนี้ยังไม่ได้รับการแปล และแสดงเป็นภาษาอังกฤษ

Watching the Boundary

You can set breakpoints, step through code, and inspect memory and registers. Sometimes the fastest insight comes from watching where a program talks to the operating system.

Every meaningful action (open a file, send a packet) crosses the user/kernel boundary as a system call.

API Calls vs System Calls

An API call is a library function like fopen or CreateFileW. Underneath, it eventually issues a system call into the kernel.

Tracing either layer reveals behavior without reading every instruction.

strace on Linux

strace records every system call a process makes, with arguments and return values.

strace -f -e trace=file ./target
# open('/etc/passwd', O_RDONLY) = 3

ltrace for Library Calls

ltrace hooks the higher library layer, showing calls like strcmp and malloc. This is great for catching password comparisons.

ltrace ./crackme
# strcmp('hunter2', 's3cr3t') = -1

API Monitor on Windows

On Windows, tools like API Monitor and Frida hook calls to kernel32, ws2_32, and friends, logging arguments live.

Procmon complements this by recording file, registry, and process events.

Filtering the Noise

A trace can produce thousands of calls. Filter to the category you care about: file, network, process, or registry.

Focusing keeps you from drowning while still catching the key events.

strace -e trace=network ./target

Hooking with Frida

Frida injects a JavaScript agent to intercept functions at runtime, letting you log or modify arguments. It works across platforms.

Interceptor.attach(Module.getExportByName(null, 'open'), {
  onEnter: function (args) {
    console.log('open ' + args[0].readUtf8String());
  }
});

Correlating with Breakpoints

Use tracing to find where something interesting happens, then switch to your debugger to break exactly there.

If strace shows an open on a hidden config file, set a breakpoint on open to inspect the surrounding logic.

Catching Network Behavior

Combine call tracing with a packet capture. connect and send calls plus a Wireshark capture reveal command-and-control servers and protocols.

strace -e trace=connect,sendto,recvfrom ./target

Anti-Tracing Awareness

Some programs detect ptrace (which strace and debuggers use) and alter behavior. If a program acts differently under strace, suspect anti-debugging.

You will study evasion in depth later; for now, just be aware tracing is not invisible.

Reading Return Values

A call's return value is as telling as its arguments. A connect returning 0 succeeded; an open returning -1 with ENOENT means a missing file the program probes for.

strace prints these inline, helping you understand the program's decisions.

open('/tmp/.lock', O_RDONLY) = -1 ENOENT
# program then creates the lock file

Quick Check

Which tool records every system call a Linux process makes, with arguments and return values?

Recap

Call tracing adds behavioral visibility to your dynamic toolkit:

strace for syscalls, ltrace for library calls
API Monitor / Procmon / Frida on Windows and beyond
Filter the noise, then pivot to breakpoints at the interesting site
Watch for anti-ptrace detection

คำถามที่พบบ่อย

บทเรียน “การติดตาม API และการเรียกระบบขณะทำงาน” ฟรีหรือไม่

ใช่ — ข้อความเต็มของ “การติดตาม API และการเรียกระบบขณะทำงาน” ฟรีให้อ่านที่นี่บนเว็บ เพื่อปฏิบัติแบบโต้ตอบ (ตัวแก้ไขโค้ดในตัวและติวเตอร์ AI ตลอด 24/7) และปลดล็อคส่วนที่เหลือของคอร์ส Reverse Engineering & Binary Analysis Basics ให้อัปเกรดเป็น CoddyKit PRO คอร์ส Reverse Engineering & Binary Analysis Basics มีบทเรียนทั้งหมด 4 บทเรียน

คุณจะเรียนรู้อะไรในบทเรียน “การติดตาม API และการเรียกระบบขณะทำงาน”

สังเกตการโต้ตอบของโปรแกรมกับ OS ด้วยฮุก API และเครื่องมือติดตามการเรียกระบบ เพื่อเสริมการดีบักที่ใช้เบรกพอยต์ด้วยการมองเห็นพฤติกรรมของโปรแกรม คุณปฏิบัติ Reverse Engineering & Binary Analysis Basics ด้วยโค้ดที่ใช้งานได้จริงที่คุณเรียกใช้โดยตรงในเบราว์เซอร์ และติวเตอร์ AI ตลอด 24/7 ตอบคำถามของคุณขณะที่คุณไปผ่านบทเรียน

คุณต้องมีประสบการณ์ก่อนที่จะเริ่มเรียน Reverse Engineering & Binary Analysis Basics หรือไม่

ไม่จำเป็นต้องมีประสบการณ์มาก่อน Reverse Engineering & Binary Analysis Basics บน CoddyKit ออกแบบมาสำหรับผู้เริ่มต้นไปจนถึงผู้เรียนขั้นสูง คุณสามารถเริ่มต้นที่นี่หรือเริ่มจากตัวแรกและเรียนด้วยความเร็วของคุณเอง นี่คือบทเรียนที่ 4 จากทั้งหมด 4 บทเรียน

บทเรียน “การติดตาม API และการเรียกระบบขณะทำงาน” ใช้เวลานานแค่ไหน

บทเรียน CoddyKit ส่วนใหญ่ใช้เวลาประมาณ 5–10 นาที แต่ละบทเรียนจึงสั้นและเป็นแบบโต้ตอบ คุณสามารถก้าวหน้าอย่างต่อเนื่องและกลับมาเรียนต่อจากตรงที่เพิ่งหยุดบนเว็บและแอปได้เลย

ฉันเขียนและรันโค้ดในบทเรียน Reverse Engineering & Binary Analysis Basics นี้ได้ไหม

ได้ บทเรียน Reverse Engineering & Binary Analysis Basics ทุกบทมีตัวแก้ไขโค้ดในตัว คุณจึงเขียนและรันโค้ดจริงได้เลยในเบราว์เซอร์ และได้รับข้อเสนอแนะจาก AI ในทันที — ไม่ต้องติดตั้งในเครื่องของคุณ

บทเรียนทั้งหมดในหลักสูตรนี้

← กลับไปที่ Reverse Engineering & Binary Analysis Basics