Windbg 확장 DLL 만들기 (2) - Debugger Extension API 사용
지난번에 만들어진 Windbg 확장 DLL에서,
Windbg 확장 DLL 만들기 (1) - 스레드를 강제 종료시키는 명령어
; https://www.sysnet.pe.kr/2/0/1198
아쉬움이 있다면, 스레드 ID 인자를 10 진수로 "kt" 명령어에 전달해야 한다는 점입니다. 왜냐하면 atoi 함수를 사용했기 때문인데요, 물론 이 부분을 16진수 문자열을 받는 사용자 정의 함수로 고쳐도 상관은 없습니다. 이 글의 주제는 atoi 함수 개선은 아니기 때문에 그 부분은 넘어가고!
Windbg는 자체적으로 다양한 기능을 갖는 Helper 함수를 2가지 방법으로 제공해 줍니다. 하나는 예전 방식으로 wdbgexts.h 헤더 파일에 선언된 WINDBG_EXTENSION_APIS 구조체를 이용하는 것인데 현재 'deprecated' 된 상태입니다. 권장되는 다른 방식이 바로 dbgeng.h에 선언된 DbgEng API를 사용하는 것으로 이번 글에서는 후자의 방법만을 이야기할 것입니다.
지난번 소스 코드를 잠시 살펴보면, 모든 Windbg 확장 명령어는 다음과 같이 PDEBUG_CLIENT (IDebugClient *) 값을 인자로 받는 것을 볼 수 있습니다.
extern "C" HRESULT CALLBACK kt(PDEBUG_CLIENT pDebugClient, PCSTR args)
{
ULONG64 threadId;
HANDLE result;
DWORD errcode =0;
threadId = atoi(args);
... [생략] ...
}
extern "C" HRESULT CALLBACK help(PDEBUG_CLIENT pDebugClient, PCSTR args)
{
dprintf("usage kt ThreadId Will kill The Thread");
return S_OK;
}
IDebugClient 인터페이스 자체로도 많은 기능들을 가지고 있지만, 해당 인터페이스로부터 구할 수 있는 IDebugControl(IDebugControl2, IDebugControl3) 인터페이스가 예전의 WINDBG_EXTENSION_APIS 구조체에서 가지고 있던 것과 유사한 기능들을 (확장)제공하고 있습니다.
IDebugControl *pControl;
if (pDebugClient->QueryInterface(__uuidof(IDebugControl), (PVOID *)&pControl) != S_OK)
{
return S_OK;
}
/*
참고로, QueryInterface(IID_IDebugControl, ...)로 명령을 내리면 다음과 같은 링크 에러가 발생합니다.
error LNK2001: unresolved external symbol _IID_IDebugControl
*/
IDebugControl 인터페이스에도 많은 기능들이 담겨 있지만, 모두 살펴 볼 여력은 없고 여기서 필요한 것만 사용해 볼 텐데요. 우선, (본문에서는 16진수 값으로 받아들일) 문자열 인자를 파싱해 주는 메서드를 이용해서 atoi 함수를 개선할 수 있습니다.
extern "C" HRESULT CALLBACK kt(PDEBUG_CLIENT pDebugClient, PCSTR args)
{
ULONG64 threadId;
HANDLE result;
DWORD errcode = 0;
IDebugControl *pDebugControl = ... [생략] ...;
// threadId = atoi(args);
DEBUG_VALUE debugValue;
ULONG remainderIndex;
HRESULT hr = pDebugControl->Evaluate(args, DEBUG_VALUE_INT64, &debugValue, &remainderIndex);
if (hr == S_OK)
{
threadId = debugValue.I64;
... [생략] ...
}
}
그다음으로 개선할 점이 있다면, DbgView로 텍스트를 확인해야만 했던 OutputDebugString의 사용입니다. 기왕이면, windbg 화면에 출력되는 것이 더욱 편리할 수 있기 때문에 dprintf 함수를 다음과 같이 개선해 줄 수 있습니다.
#define BUFFER_LENGTH 4096
void dprintf(IDebugControl *pDebugControl, wchar_t *fmt, ...)
{
wchar_t wchBuf[BUFFER_LENGTH];
va_list ap;
va_start(ap, fmt);
int writtenLength = vswprintf(wchBuf, fmt, ap);
va_end(ap);
int chSize = BUFFER_LENGTH * 2;
char *pOutputBuffer = new char[chSize];
wcstombs(pOutputBuffer, wchBuf, writtenLength + 2);
pDebugControl->Output(DEBUG_OUTPUT_NORMAL, pOutputBuffer);
delete [] pOutputBuffer;
}
아쉽게도 IDebugControl::Output 메서드가 wchar_t 텍스트를 출력해주지 않고 char 형으로 인자를 받고 있어서 부득이 변환을 했습니다. (물론, 전체 프로젝트의 소스 코드를 char 형으로 변환하는 것도 가능하겠지만...
제가 병(?)적으로 wchar_t 형을 좋아하기 때문에. ^^)
아래는 지난번 예제를 최종적으로 변환한 소스 코드입니다.
#include "stdafx.h"
#include <cstdio>
extern "C" HRESULT CALLBACK DebugExtensionInitialize(PULONG Version, PULONG Flags)
{
*Version = DEBUG_EXTENSION_VERSION(EXT_MAJOR_VER, EXT_MINOR_VER);
*Flags = 0; // Reserved for future use.
return S_OK;
}
extern "C" void CALLBACK DebugExtensionNotify(ULONG Notify, ULONG64 Argument)
{
UNREFERENCED_PARAMETER(Argument);
switch (Notify)
{
case DEBUG_NOTIFY_SESSION_ACTIVE:
break;
case DEBUG_NOTIFY_SESSION_INACTIVE:
break;
case DEBUG_NOTIFY_SESSION_ACCESSIBLE:
break;
case DEBUG_NOTIFY_SESSION_INACCESSIBLE:
break;
}
return;
}
extern "C" void CALLBACK DebugExtensionUninitialize(void)
{
return;
}
#define BUFFER_LENGTH 4096
void dprintf(IDebugControl *pDebugControl, wchar_t *fmt, ...)
{
wchar_t wchBuf[BUFFER_LENGTH];
va_list ap;
va_start(ap, fmt);
int writtenLength = vswprintf(wchBuf, fmt, ap);
va_end(ap);
int chSize = BUFFER_LENGTH * 2;
char *pOutputBuffer = new char[chSize];
wcstombs(pOutputBuffer, wchBuf, writtenLength + 2);
pDebugControl->Output(DEBUG_OUTPUT_NORMAL, pOutputBuffer);
delete [] pOutputBuffer;
}
// #include <C:\Program Files (x86)\Debugging Tools for Windows (x86)\sdk\inc\wdbgexts.h>
extern "C" HRESULT CALLBACK kt(PDEBUG_CLIENT pDebugClient, PCSTR args)
{
ULONG64 threadId;
HANDLE result;
DWORD errcode = 0;
IDebugControl *pDebugControl = NULL;
if (pDebugClient->QueryInterface(__uuidof(IDebugControl), (PVOID *)&pDebugControl) != S_OK)
{
return S_OK;
}
do
{
// threadId = atoi(args);
DEBUG_VALUE debugValue;
ULONG remainderIndex;
HRESULT hr = pDebugControl->Evaluate(args, DEBUG_VALUE_INT64, &debugValue, &remainderIndex);
if (hr != S_OK)
{
break;
}
threadId = debugValue.I64;
dprintf(pDebugControl, L"the thread to be killed has an ID of %x\n", threadId);
result = OpenThread(THREAD_ALL_ACCESS, FALSE, (DWORD)threadId);
if (result == 0)
{
errcode = GetLastError();
dprintf(pDebugControl, L"gle = %x\n",errcode);
}
else
{
dprintf(pDebugControl, L"HANDLE to thread is %x\n",result);
if(TerminateThread(result,DBG_TERMINATE_THREAD) == 0)
{
dprintf(pDebugControl, L"Terminate Thread Failed");
}
else
{
dprintf(pDebugControl, L"issue a g then ~* and you will see a thread has been killed\n"
L"if it was main thread the process would have gone\n"
L"pl read msdn for all the DANGEROUS FUNCTION caveats against using TerminateThread Function\n"
L"also read the need to define minimum platform _winnt_winxp???\n"
L"also iirc using win32apis in debugger extensions is not recommended you need to use idebug::whatever::went::somewhere::interfaces\n"
L"have fun terminating the process thread by thread\n");
}
}
} while (false);
if (pDebugControl != NULL)
{
pDebugControl->Release();
pDebugControl = NULL;
}
return S_OK;
}
extern "C" HRESULT CALLBACK help(PDEBUG_CLIENT pDebugClient, PCSTR args)
{
ULONG64 threadId;
HANDLE result;
DWORD errcode = 0;
IDebugControl *pDebugControl = NULL;
if (pDebugClient->QueryInterface(__uuidof(IDebugControl), (PVOID *)&pDebugControl) != S_OK)
{
return S_OK;
}
do
{
dprintf(pDebugControl, L"usage kt ThreadId Will kill The Thread");
} while (false);
if (pDebugControl != NULL)
{
pDebugControl->Release();
pDebugControl = NULL;
}
return S_OK;
}
개선된 ThreadKill 확장 DLL로 다시 한번 테스트 해볼까요? ^^
0:004> .load D:\...[생략]...\Debug\ThreadKill.dll
0:004> ~*
0 Id: 2728.b6c Suspend: 1 Teb: 7efdd000 Unfrozen
Start: *** WARNING: Unable to verify checksum for D:\...[생략]...\Debug\ConsoleApplication1.exe
ConsoleApplication1!COM+_Entry_Point <PERF> (ConsoleApplication1+0x27be) (000927be)
Priority: 0 Priority class: 32 Affinity: ff
1 Id: 2728.24fc Suspend: 1 Teb: 7efda000 Unfrozen
Start: *** ERROR: Symbol file could not be found. Defaulted to export symbols for C:\Windows\Microsoft.NET\Framework\v4.0.30319\clr.dll -
clr!CreateApplicationContext+0xcab9 (7261b30c)
Priority: 0 Priority class: 32 Affinity: ff
2 Id: 2728.2bc0 Suspend: 1 Teb: 7efd7000 Unfrozen
Start: clr!GetMetaDataInternalInterfaceFromPublic+0x1e505 (726fc018)
Priority: 2 Priority class: 32 Affinity: ff
3 Id: 2728.1dfc Suspend: 1 Teb: 7efaf000 Unfrozen
Start: ntdll!RtlLoadString+0x430 (77a541f3)
Priority: 0 Priority class: 32 Affinity: ff
. 4 Id: 2728.17dc Suspend: 1 Teb: 7efac000 Unfrozen
Start: ntdll!DbgUiRemoteBreakin (77aaf7ea)
Priority: 0 Priority class: 32 Affinity: ff
0:004> !kt 17dc
the thread to be killed has an ID of 17dc
HANDLE to thread is 258
issue a g then ~* and you will see a thread has been killed
if it was main thread the process would have gone
pl read msdn for all the DANGEROUS FUNCTION caveats against using TerminateThread Function
also read the need to define minimum platform _winnt_winxp???
also iirc using win32apis in debugger extensions is not recommended you need to use idebug::whatever::went::somewhere::interfaces
have fun terminating the process thread by thread
우와~~~ 완벽하군요. ^^
(첨부된 파일은 위의 코드를 포함한 예제 프로젝트와 DLL 결과물입니다.)
마지막으로, 확장 DLL에 대해 각각 x86/x64용으로 빌드해주는 스크립트를 만드는 것을 잊지 말아야겠죠. ^^
msbuild ".\ThreadKill.vcxproj" /p:Platform=Win32;Configuration=Release /p:TargetName=ThreadKill
msbuild ".\ThreadKill.vcxproj" /p:Platform=x64;Configuration=Release /p:TargetName=ThreadKill64
[이 글에 대해서 여러분들과 의견을 공유하고 싶습니다. 틀리거나 미흡한 부분 또는 의문 사항이 있으시면 언제든 댓글 남겨주십시오.]