Microsoft MVP성태의 닷넷 이야기
글쓴 사람
정성태 (techsharer at outlook.com)
홈페이지
첨부 파일
 

windbg - 특정 Win32 API에서 BP가 안 걸리는 경우 (2)

전에 알아본 방법이,

windbg - 특정 Win32 API에서 BP가 안 걸리는 경우
; https://www.sysnet.pe.kr/2/0/12429

WS2_32.dll의 함수들에는 제법 많이 틀리군요. ^^; 예를 들어 다음과 같이 간단한 예제도,

using System;
using System.Net;
using System.Net.Sockets;

class Program
{
    static void Main(string[] args)
    {
        Socket socket = new Socket(AddressFamily.InterNetwork, SocketType.Stream, ProtocolType.Tcp);

        byte[] buf = new byte[4];
        socket.GetSocketOption(SocketOptionLevel.Socket, SocketOptionName.ReuseAddress, buf);

        Console.ReadLine();
        socket.GetSocketOption(SocketOptionLevel.Socket, SocketOptionName.ReuseAddress, buf);
        socket.Bind(new IPEndPoint(IPAddress.Any, 0));
    }
}

Console.ReadLine 단계에서 windbg로 연결해 bp를 이렇게 걸어보면,

0:000> bp WS2_32!bind
0:000> bp WS2_32|getsockopt
0:000> bp WS2_32|socket

bind 빼고는 엉뚱한 곳에 걸립니다.

0:000> bl
     0 e Disable Clear  00007ff9`0bc209c0     0001 (0001)  0:**** ws2_32!bind
     1 e Disable Clear  00007ff9`0bebee90     0001 (0001)  0:**** sechost!ControlLookup+0x84a0
     2 e Disable Clear  00007ff9`0bdd81f0     0001 (0001)  0:**** IMM32!SendIMEMessageAll+0x24

문제는, 지난번과는 달리 이번엔 다른 DLL의 API를 호출하는 유형이 아니라서 IAT 검색도 도움이 안 됩니다.




할 수 없군요, 기존에 만들어 두었던 windbg 확장 DLL에,

Windbg 확장 DLL 만들기 (3) - C#으로 만드는 방법
; https://www.sysnet.pe.kr/2/0/12119

다음과 같은 ubp 함수를 추가했습니다.

// https://github.com/stjeong/DotNetSamples/blob/master/WinConsole/Debugger/NetDbgExt/UnmanagedMain.cs#L66

[DllExport(CallingConvention = CallingConvention.StdCall)]
public static uint ubp(IDebugClient pDebugClient, [MarshalAs(UnmanagedType.LPStr)] string args)
{
    if (!(pDebugClient is IDebugControl dbgControl))
    {
        return 0;
    }

    string[] arg = args.Split('!');
    if (arg.Length != 2)
    {
        dbgControl.Output(DEBUG_OUTPUT.NORMAL, $"Invalid argument\n");
        return 0;
    }

    string dllPath = arg[0];
    string apiName = arg[1];

    IntPtr ptrDllAddress = LoadLibrary(dllPath);
    if (ptrDllAddress == IntPtr.Zero)
    {
        dbgControl.Output(DEBUG_OUTPUT.NORMAL, $"DLL not found\n");
        return 0;
    }

    IntPtr ptrApiAddress = GetProcAddress(ptrDllAddress, apiName);
    if (ptrApiAddress == IntPtr.Zero)
    {
        dbgControl.Output(DEBUG_OUTPUT.NORMAL, $"API not found\n");
        return 0;
    }

    string text = (IntPtr.Size == 4) ? ptrApiAddress.ToInt32().ToString("x") : ptrApiAddress.ToInt64().ToString("x");
    dbgControl.Execute(DEBUG_OUTCTL.THIS_CLIENT, $"bp {text}", DEBUG_EXECUTE.DEFAULT);

    return 0;
}

그래서 다음과 같이 사용할 수 있어,

0:000> !NetDbgExt.ubp ws2_32.dll!getsockopt
0:000> bl
     0 e Disable Clear  00007ff9`0bc21b80     0001 (0001)  0:**** ws2_32!getsockopt

0:000> !ubp ws2_32.dll!bind
0:000> bl
     0 e Disable Clear  00007ff9`0bc21b80     0001 (0001)  0:**** ws2_32!getsockopt
     1 e Disable Clear  00007ff9`0bc209c0     0001 (0001)  0:**** ws2_32!bind

조금 편해졌군요.




하지만 ubp 확장 명령어에는 알아둬야 할 문제가 2가지 있습니다.

1) 우선, windbg.exe 프로세스 내에 대상 DLL들이 적재되어 올라온다는 점인데, 디버깅 중에 저렇게 써야 할 경우가 많지 않을 것이라는 점을 감안했을 때 크게 문제가 되지는 않습니다

2) ASLR에 의해 시스템 부팅 후 매번 주소가 달라지겠지만, 디버깅 중에는 같은 시스템 내에서 바뀔 일이 없으므로 대부분의 경우에 안전하게 사용할 수 있습니다. 하지만, (가령 이미 다른 DLL이 점유하고 있다거나 하는 등의 이유로) 대상 프로세스의 dll 로딩 주소가 windbg 내에서는 다른 로딩 주소로 매핑될 수 있기 때문에 ubp 명령어가 100% 동작할 거라는 기대를 해서는 안 됩니다.




[이 글에 대해서 여러분들과 의견을 공유하고 싶습니다. 틀리거나 미흡한 부분 또는 의문 사항이 있으시면 언제든 댓글 남겨주십시오.]



donaricano-btn



[최초 등록일: ]
[최종 수정일: 12/4/2020]

Creative Commons License
이 저작물은 크리에이티브 커먼즈 코리아 저작자표시-비영리-변경금지 2.0 대한민국 라이센스에 따라 이용하실 수 있습니다.
by SeongTae Jeong, mailto:techsharer at outlook.com

비밀번호

댓글 쓴 사람
 




... [16]  17  18  19  20  21  22  23  24  25  26  27  28  29  30  ...
NoWriterDateCnt.TitleFile(s)
12475정성태1/5/20211419.NET Framework: 995. C# - Span<T>와 Memory<T> [1]파일 다운로드1
12474정성태1/4/20211251.NET Framework: 994. C# - (.NET Core 2.2부터 가능한) 프로세스 내부에서 CLR ETW 이벤트 수신파일 다운로드1
12473정성태1/4/20211340.NET Framework: 993. .NET 런타임에 따라 달라지는 정적 필드의 초기화 유무 [1]파일 다운로드1
12472정성태1/3/20211274디버깅 기술: 178. windbg - 디버그 시작 시 스크립트 실행
12471정성태1/1/20211377.NET Framework: 992. C# - .NET Core 3.0 이상부터 제공하는 runtimeOptions의 rollForward 옵션
12470정성태12/30/20201441.NET Framework: 991. .NET 5 응용 프로그램에서 WinRT API 호출 [1]파일 다운로드1
12469정성태12/30/20201952.NET Framework: 990. C# - SendInput Win32 API를 이용한 가상 키보드/마우스파일 다운로드1
12468정성태12/30/20201160Windows: 186. CMD Shell의 "Defaults"와 "Properties"에서 폰트 정보가 다른 문제
12467정성태12/29/20201498.NET Framework: 989. HttpContextAccessor를 통해 이해하는 AsyncLocal<T> [1]파일 다운로드1
12466정성태12/29/20201569.NET Framework: 988. C# - 지연 실행이 꼭 필요한 상황이 아니라면 singleton 패턴에서 DCLP보다는 static 초기화를 권장파일 다운로드1
12465정성태12/29/20201435.NET Framework: 987. .NET Profiler - FunctionID와 연관된 ClassID를 구할 수 없는 문제
12464정성태12/29/20201515.NET Framework: 986. pptfont.exe - PPT 파일에 숨겨진 폰트 설정을 일괄 삭제
12463정성태12/29/20201442개발 환경 구성: 520. RDP(mstsc.exe)의 다중 모니터 옵션 /multimon, /span
12462정성태12/27/20201347디버깅 기술: 177. windbg - (ASP.NET 환경에서 유용한) netext 확장
12461정성태12/21/20202051.NET Framework: 985. .NET 코드 리뷰 팁 [3]
12460정성태12/18/20201653기타: 78. 도서 소개 - C#으로 배우는 암호학
12459정성태12/16/20201198Linux: 35. C# - 리눅스 환경에서 클라이언트 소켓의 ephemeral port 재사용파일 다운로드1
12458정성태12/16/20201438오류 유형: 694. C# - Task.Start 메서드 호출 시 "System.InvalidOperationException: 'Start may not be called on a task that has completed.'" 예외 발생 [1]
12457정성태12/15/20201337Windows: 185. C# - Windows 10/2019부터 추가된 SIO_TCP_INFO파일 다운로드1
12456정성태12/15/20201403VS.NET IDE: 156. Visual Studio - "Migrate packages.config to PackageReference"
12455정성태12/15/20201185오류 유형: 693. DLL 로딩 시 0x800704ec - This Program is Blocked by Group Policy
12454정성태12/15/20201299Windows: 184. Windows - AppLocker의 "DLL Rules"를 이용해 임의 경로에 설치한 DLL의 로딩을 막는 방법 [1]
12453정성태12/14/20201775.NET Framework: 984. C# - bool / BOOL / VARIANT_BOOL에 대한 Interop [1]파일 다운로드1
12452정성태12/14/20201422Windows: 183. 설정은 가능하지만 구할 수는 없는 TcpTimedWaitDelay 값
12451정성태12/14/20201255Windows: 182. WMI Namespace를 열거하고, 그 안에 정의된 클래스를 열거하는 방법
12450정성태12/13/20201516.NET Framework: 983. C# - TIME_WAIT과 ephemeral port 재사용파일 다운로드1
... [16]  17  18  19  20  21  22  23  24  25  26  27  28  29  30  ...