分析程序是否具有异常行为是保护操作系统安全的有效措施之一。程序运行时指令流既能体现程序的执行路径,又能反映程序运行时的行为特征。因此,基于程序动态指令流来分析程序的行为是一种常用的程序分析方式。但是,就指令流分析中的指令采集而言就存在着诸多困难。一方面需要高效获取程序运行时产生的指令流信息;另一方面需要过滤掉无用的指令流信息。因此,急需一种高效的指令流采集方案。基于双视图技术,利用Intel Processor Trace(IPT)硬件部件可以实现对程序运行时指令流精确、高效地采集。通过为虚拟机创建两套视图,然后将目标程序组件或目标内存区域置于监控视图中。当尝试访问目标区域时,切换到监控视图中继续执行,并同时开启IPT的记录功能;当尝试访问非目标区域时,切换到非监控视图中执行,并关闭IPT的记录功能。视图切换的同时进行IPT记录状态的切换,实现虚拟化环境下IPT对目标区域的精确记录。为了降低系统的额外时间开销,引入VMFUNC,进行高效的视图切换;引入Virtualization Exception(VE)减少了特定EPT冲突造成的VM-exit。通过双视图技术和IPT硬件部件,实现了虚拟化环境下对多个目标程序的精确记录,避免了大量无用数据的产生,提高了IPT的使用性能。针对利用IPT同时记录多个运行程序的指令流场景对系统进行了测试,并与现有不得不采用的IPT全系统记录模式进行了对比。实验表明,基于双视图技术的指令流采集方案,就产生数据包的大小而言,能够有效减少无用数据的产生。