FLARE Learning Hub 出品的 TTD 调试手册

原创

mimi3389
mimi3389

赛博生存指南

2026年11月2日 07:59
浙江

去阅读

https://docs.google.com/document/d/15gbXsTtWyxlUr5bxWO0wvWNHDZqxqh\_LEqLanyZpdyw/

云盘下载地址：包含英文原文和wps机翻版本（很拉勉强看看）《2026-11-02 FLARE Learning Hub 出品的 TTD 调试手册》 https://pan.baidu.com/s/12N6d0MSvvYuMYC8XVfzr7Q?pwd=mysc 提取码: mysc

本文是 FLARE Learning Hub 出品的《时间旅行调试入门》（An Introduction to Time Travel Debugging），由 Google Cloud Mandiant FLARE 团队的 Josh Stroschein 与 Jae Young Kim 编写，中英双语排版，是一份面向 Windows 恶意软件分析场景的 TTD 技术教程。

核心概念：什么是 TTD

时间旅行调试（Time Travel Debugging，TTD）是微软随 WinDbg 提供的一项技术，它记录进程的完整执行过程，生成一个可以向前和向后回放的 trace（跟踪）文件。与只能向前执行跟踪的传统调试不同，TTD 的\"回滚\"能力在恶意软件分析和逆向工程中尤为强大，分析人员可以随时间检查程序行为、快速定位恶意事件，显著加快威胁分类（triage）速度；前后逐步执行的能力也有助于理解和绕过反分析与混淆技术。

TTD 通过一个透明层捕获程序的执行路径与状态，允许程序与操作系统完全交互。trace 文件保留了完整的执行记录，可以分享给同事协作分析，从而规避实时调试受环境差异影响的问题；执行中的特定点还可被书签标记并共享，直接引导同事的分析方向。此外，trace 中内置调试器数据模型对象，用户可用 LINQ 查询跟踪记录，定位模块加载、shellcode 执行或进程注入等特定事件。