windbg - 풀 덤프 파일로부터 텍스트 파일의 내용을 찾는 방법
예전에 설명한 대로,
windbg - 덤프 파일과 handle 정보
; https://www.sysnet.pe.kr/2/0/1836
사용자 모드(user mode)의 풀 덤프 파일로는 핸들 값으로부터 별다르게 얻을 수 있는 정보가 없습니다. 파일명조차 못 구하는데 파일 내용을 알아내는 것은 말할 필요도 없습니다.
단지, 우회적인 방법을 사용해야 하는데요. 가장 좋은 방법은, 로드된 파일이 정적 변수에 담겨 있는 경우입니다. 그럴 때는 그냥 찾아들어가서 해당 변수의 내용을 덤프하면 파일의 내용을 얻을 수 있습니다.
만약, 그런 변수가 있는지 알 수 없다면 차선책으로 문자열 검색을 해보는 것입니다. 이런 경우 해당 파일의 내용을 식별해 줄 가장 최선의 문자열을 검색어로 쓰는 것입니다.
가령 예를 들어보면...
다음과 같은 간단한 콘솔 프로그램을 보면,
using System;
using System.IO;
namespace ConsoleApplication1
{
class Program
{
static string txt = null;
static void Main(string[] args)
{
txt = File.ReadAllText("test.txt");
Console.ReadLine();
}
}
}
다음의 내용을 담은 test.txt 파일을 로드하는데,
test is good
The .dump command creates a user-mode or kernel-mode crash dump file. ... .suspend_ui (Suspend WinDbg Interface) .symfix (Set Symbol Store Path) .... You can specify a full path and file name or just the file name. If the file name contains ...
이런 프로그램의 풀 덤프 파일을 windbg에서 디버깅할 때 메모리를 검색해 보는 것입니다.
0:000> s -u 0 L?ffffffff`ffffffff "test is good"
00000207`5eab5068 0074 0065 0073 0074 0020 0069 0073 0020 t.e.s.t. .i.s. .
00000207`5eab58d8 0074 0065 0073 0074 0020 0069 0073 0020 t.e.s.t. .i.s. .
00000207`5eab6b84 0074 0065 0073 0074 0020 0069 0073 0020 t.e.s.t. .i.s. .
명령어 s
-u : 유니코드 검색 (ascii인 경우 -a)
0 : 시작 주소 지정
L?ffffffff`ffffffff : 범위를 64비트 끝으로 지정.
검색 결과가 3개가 나왔는데요. 각각 du 명령어로 전체 내용을 확인할 수 있습니다. (또는 Alt+5를 눌러 메모리 창을 띄운 후 주소 값에 따라 덤프해볼 수 있습니다.)
0:000> du 00000207`5eab5068
00000207`5eab5068 "test is good....The .dump comman"
00000207`5eab50a8 "d creates a user-mode or kernel-"
00000207`5eab50e8 "mode crash dump file. ... .suspe"
00000207`5eab5128 "nd_ui (Suspend WinDbg Interface)"
00000207`5eab5168 " .symfix (Set Symbol Store Path)"
00000207`5eab51a8 " .... You can specify a full pat"
00000207`5eab51e8 "h and file name or just the file"
00000207`5eab5228 " name. If the file name contains"
00000207`5eab5268 " ..."
0:000> du 00000207`5eab58d8
00000207`5eab58d8 "test is good...."
0:000> du 00000207`5eab6b84
00000207`5eab6b84 "test is good....The .dump comman"
00000207`5eab6bc4 "d creates a user-mode or kernel-"
00000207`5eab6c04 "mode crash dump file. ... .suspe"
00000207`5eab6c44 "nd_ui (Suspend WinDbg Interface)"
00000207`5eab6c84 " .symfix (Set Symbol Store Path)"
00000207`5eab6cc4 " .... You can specify a full pat"
00000207`5eab6d04 "h and file name or just the file"
00000207`5eab6d44 " name. If the file name contains"
00000207`5eab6d84 " ..."
소개한 방법이 조금은 허탈하겠지만, 어쩔 수 없습니다.... 운입니다. ^^ 따라서 대용량의 응용 프로그램이라면 저렇게 쉽게 찾기 힘들 수 있습니다.
(혹시 자신만의 팁이 있는 분은 덧글 좀. ^^)
[이 글에 대해서 여러분들과 의견을 공유하고 싶습니다. 틀리거나 미흡한 부분 또는 의문 사항이 있으시면 언제든 댓글 남겨주십시오.]