Microsoft MVP성태의 닷넷 이야기
.NET Framework: 870. C# - 프로세스의 모든 핸들을 열람 [링크 복사], [링크+제목 복사]
조회: 863
글쓴 사람
홈페이지
첨부 파일
 

C# - 프로세스의 모든 핸들을 열람

예전에 쓴 글이 있긴 한데,

C# - (핸들을 이용하여) 모든 열린 파일을 열람
; https://www.sysnet.pe.kr/2/0/1338

C# - 닷넷에서 프로세스가 열고 있는 파일 목록을 구하는 방법
; https://www.sysnet.pe.kr/2/0/10833

위의 코드에서 걸리는 점이 있다면, 포인터에 대해 직접 offset 값을 취해 정보를 얻는다는 것입니다. 그런데 최근에 다음의 글을 읽게 되었는데,

Reversing Windows Internals (Part 1) ? Digging Into Handles, Callbacks & ObjectTypes
; https://rayanfam.com/topics/reversing-windows-internals-part1/

저 글에서 소개한 소스 코드를 보면 정식적인 구조체를 이용해 해결하고 있습니다.

SinaKarvandi/Process-Magics
; https://github.com/SinaKarvandi/Process-Magics

Process-Magics/EnumAllHandles/EnumAllHandles/
; https://github.com/SinaKarvandi/Process-Magics/tree/master/EnumAllHandles/EnumAllHandles

이참에, 찾아 보니 그런대로 이미 구조체들이 공식 문서화된 것들이 있습니다. ^^

NtQueryObject function (winternl.h)
; https://docs.microsoft.com/en-us/windows/win32/api/winternl/nf-winternl-ntqueryobject

PUBLIC_OBJECT_TYPE_INFORMATION structure (ntifs.h)
; https://docs.microsoft.com/en-us/windows-hardware/drivers/ddi/ntifs/ns-ntifs-__public_object_type_information
typedef struct _PUBLIC_OBJECT_BASIC_INFORMATION {
    ULONG Attributes;
    ACCESS_MASK GrantedAccess;
    ULONG HandleCount;
    ULONG PointerCount;
    ULONG Reserved[10];    // reserved for internal use
 } PUBLIC_OBJECT_BASIC_INFORMATION, *PPUBLIC_OBJECT_BASIC_INFORMATION;

PUBLIC_OBJECT_TYPE_INFORMATION structure (ntifs.h)
; https://docs.microsoft.com/en-us/windows-hardware/drivers/ddi/ntifs/ns-ntifs-__public_object_type_information
typedef struct __PUBLIC_OBJECT_TYPE_INFORMATION {
    UNICODE_STRING TypeName;
    ULONG Reserved [22];    // reserved for internal use
} PUBLIC_OBJECT_TYPE_INFORMATION, *PPUBLIC_OBJECT_TYPE_INFORMATION;

ObQueryNameString function - ntifs.h (include FltKernel.h, Ntifs.h)
; https://docs.microsoft.com/en-us/windows-hardware/drivers/ddi/ntifs/nf-ntifs-obquerynamestring

typedef struct _OBJECT_NAME_INFORMATION {
  UNICODE_STRING Name;
} OBJECT_NAME_INFORMATION, *POBJECT_NAME_INFORMATION;

한 가지 아쉬운 점은, NtQuerySystemInformation 함수를 통해 모든 핸들 정보를 구하는 SystemHandleInformation 관련 구조체는 (사실상 documented에 가깝지만 ^^;) 여전히 undocumented 상태라는 점입니다.




그런데, 이 코드를 실행해 보면 dropbox가 설치된 컴퓨터에서 다음의 코드를 실행 시 hang 현상이 발생합니다.

// GetHandleName 함수
while (NtQueryObject(*DUP_HANDLE, ObjectNameInformation, OBJECT_NAME, GuessSize, &RequiredSize) == STATUS_INFO_LENGTH_MISMATCH)

문제가 되는 핸들을 알아내 Process Explorer에서 살펴보면 항상 다음의 Handle에서 멈추는 것을 확인할 수 있는데,

Type: File
Name: \Device\NamedPipe\DropboxDataPipe

이 외에도 몇몇 Handle에서 멈춤 현상이 동일하게 발생합니다. 그때마다 "DropboxDataPipe"와 동일한 것은 해당 핸들의 "속성" 창으로 보안 정보를 보려고 했을 때,

handle_enum_1.png

The requested security information is either unavailable or can't be displayed.

위와 같이 조회가 안 되지만, 저렇게 보안 정보가 안 보이는 것이라고 해도 모든 핸들의 정보가 NtQueryObject에서 hang 현상이 발생하지는 않습니다. 예를 들어, "\Device\CNG"가 예외인 경우였습니다.

관련해서 검색해 보면,

MPC-HC causes a freeze
; https://github.com/erengy/taiga/issues/270

이런 글이 나오고 그런 현상을 예외로 걸러내기 위해 다음과 같은 조건을 포함하고 있습니다.

// https://github.com/tamentis/psutil/blob/master/psutil/arch/mswindows/process_handles.c

// Skip access codes that can cause NtDuplicateObject() or NtQueryObject()
// to hang
if (handle.GrantedAccess == 0x00100000 ||
    handle.GrantedAccess == 0x00120189 ||
    handle.GrantedAccess == 0x0012019f ||
    handle.GrantedAccess == 0x001a019f ||
    handle.GrantedAccess == 0x0012008D)
  continue;

// 또는,
// https://github.com/erengy/anisthesia/blob/master/src/win/open_files.cpp

if (!(access_mask & FILE_READ_DATA))
    return false;

// We further assume that media players do not have any kind of write access
// to video files:
if ((access_mask & FILE_APPEND_DATA) ||
    (access_mask & FILE_WRITE_EA) ||
    (access_mask & FILE_WRITE_ATTRIBUTES)) {
    return false;
}

문제는, 저게 요행히 맞을 수는 있어도 GrantedAccess/access_mask 값이 hang 현상과 직접적인 연관은 없다는 점입니다. 게다가 hang이 발생했던 "\Device\NamedPipe\DropboxDataPipe"의 경우 제 시스템에서는 GrantedAccess 값이 0x120089였고, 그와 동일한 GrantedAccess 값을 가지고 있던 다른 Handle(예, "\Device\DeviceApi")에 대해서는 NtQueryObject 조회가 정상적으로 실행되었습니다.

다른 글을 보면,

C# (CSharp) SYSTEM_HANDLE_INFORMATION Examples
; https://csharp.hotexamples.com/examples/-/SYSTEM_HANDLE_INFORMATION/-/php-system_handle_information-class-examples.html

이렇게도 비교하는데,

//skip special NamedPipe handle (this may cause hang up with NtQueryObject function)
if (targetHandleInfo.AccessMask.ToInt64() == 0x0012019F)
{
    return String.Empty;
}

그나마 주석에서 얻은 한 가지 힌트라면 "특별한 NamedPipe"라고 가정을 하지만 그렇다고 해서 크게 도움이 되지는 않습니다. 왜냐하면 AccessMark == 0x0012019F를 가진 핸들 중에서 그것이 "File"인지, "특별한 NamedPipe"인지 구별할 수 있는 방법이 없기 때문입니다.

반면, "Process Explorer"는 hang 현상 없이 정확히 해당 정보를 가져오는 걸로 봐서 아마도 Kernel driver 영역에서나 가능하지 않을까 예상해 봅니다. (혹시 User 모드에서 해당 방법을 아시는 분은 덧글 부탁드립니다. ^^)




그러니까... 이 문제는 우회적으로 피해 가야 합니다. 예를 들어 지난 글에서 설명한,

C# - (핸들을 이용하여) 모든 열린 파일을 열람
; https://www.sysnet.pe.kr/2/0/1338

코드에서는 이를 회피하기 위해 별도의 스레드에 작업을 맡긴 후 EventWaitHandle.WaitOne(timeout)을 호출하는 방식으로 해결하고 있습니다.

private static bool GetFileNameFromHandle(IntPtr handle, out string fileName, int wait)
{
    using (FileNameFromHandleState f = new FileNameFromHandleState(handle))
    {
        ThreadPool.QueueUserWorkItem(new WaitCallback(GetFileNameFromHandle), f);
        if (f.WaitOne(wait))
        {
            fileName = f.FileName;
            return f.RetValue;
        }
        else
        {
            fileName = string.Empty;
            return false;
        }
    }
}

심지어 ProcessHacker 소스 코드에서도,

processhacker/phlib/hndlinfo.c
; https://github.com/processhacker/processhacker/blob/master/phlib/hndlinfo.c

PhpGetObjectName에 보면, PhCallNtQueryObjectWithTimeout과 NtQueryObject를 섞어 쓰고 있습니다.




이렇게 해서 소스 코드를 "C# - (핸들을 이용하여) 모든 열린 파일을 열람" 글에서 사용했던 것에 비해 좀 더 개선을 했습니다.

DotNetSamples/WinForms/EnumHandles/
; https://github.com/stjeong/DotNetSamples/tree/master/WinForms/EnumHandles

그래서 새롭게 변경한 소스 코드를 활용하면 다음과 같은 식으로 원하는 프로세스의 핸들을 열람할 수 있습니다.

using (WindowsHandleInfo whi = new WindowsHandleInfo())
{
    for (int i = 0; i < whi.HandleCount; i++)
    {
        SYSTEM_HANDLE_ENTRY she = whi[i];

        if (she.OwnerPid != processId)
        {
            continue;
        }

        string objName = she.GetName(out string handleTypeName);

        Console.WriteLine($"{handleTypeName}: {objName}");
    }
}

다음 화면은 Process Explorer의 출력 결과(왼쪽)와 첨부한 예제 프로젝트의 실행 결과를 보여줍니다.

handle_enum_2.png

속도는 Process Explorer보다 느리지만, 상황에 따라 쓸만할 것입니다. ^^




당연한 이야기겠지만, GetFileNameFromHandle에서 hang 현상을 피하기 위해 ThreadPool.QueueUserWorkItem을 사용함으로써 만약 저 기능을 계속해서 호출하면 "hang 현상에 걸린 스레드"가 지속적으로 누적될 수 있습니다. 다음은 Visual Studio의 디버그 모드로 해당 스레드들이 누적되어 있는 것을 보여줍니다.

handle_enum_3.png





[이 글에 대해서 여러분들과 의견을 공유하고 싶습니다. 틀리거나 미흡한 부분 또는 의문 사항이 있으시면 언제든 댓글 남겨주십시오.]

[연관 글]





[최초 등록일: ]
[최종 수정일: 12/16/2019 ]

Creative Commons License
이 저작물은 크리에이티브 커먼즈 코리아 저작자표시-비영리-변경금지 2.0 대한민국 라이센스에 따라 이용하실 수 있습니다.
by SeongTae Jeong, mailto:techsharer@outlook.com

비밀번호

댓글 쓴 사람
 




[1]  2  3  4  5  6  7  8  9  10  11  12  13  14  15  ...
NoWriterDateCnt.TitleFile(s)
12265정성태7/10/20208오류 유형: 629. Visual Studio - 웹 애플리케이션 실행 시 "Unable to connect to web server 'IIS Express'." 오류 발생
12264정성태7/9/202017오류 유형: 628. docker: Error response from daemon: Conflict. The container name "..." is already in use by container "...".
12261정성태7/9/2020135VS.NET IDE: 148. 윈도우 10에서 .NET Core 응용 프로그램을 리눅스 환경에서 실행하는 2가지 방법 - docker, WSL 2 [3]
12260정성태7/8/202054.NET Framework: 926. C# - ETW를 이용한 ThreadPool 스레드 감시파일 다운로드1
12259정성태7/8/202019오류 유형: 627. nvlddmkm.sys의 BAD_POOL_HEADER BSOD 문제
12258정성태7/8/202080기타: 77. DataDog APM 간략 소개
12257정성태7/7/202053.NET Framework: 925. C# - ETW를 이용한 Monitor Enter/Exit 감시파일 다운로드1
12256정성태7/7/202086.NET Framework: 924. C# - Reflection으로 변경할 수 없는 readonly 정적 필드 [4]
12255정성태7/6/202058.NET Framework: 923. C# - ETW(Event Tracing for Windows)를 이용한 Finalizer 실행 감시파일 다운로드1
12254정성태7/2/202034오류 유형: 626. git - REMOTE HOST IDENTIFICATION HAS CHANGED!
12253정성태7/2/2020105.NET Framework: 922. C# - .NET ThreadPool의 Local/Global Queue파일 다운로드1
12252정성태7/2/202082.NET Framework: 921. C# - I/O 스레드를 사용한 비동기 소켓 서버/클라이언트파일 다운로드2
12251정성태7/1/2020105.NET Framework: 920. C# - 파일의 비동기 처리 유무에 따른 스레드 상황파일 다운로드2
12250정성태7/1/2020314.NET Framework: 919. C# - 닷넷에서의 진정한 비동기 호출을 가능케 하는 I/O 스레드 사용법 [1]파일 다운로드1
12249정성태6/29/202034오류 유형: 625. Microsoft SQL Server 2019 RC1 Setup - 설치 제거 시 Warning 26003 오류 발생
12248정성태6/29/202031오류 유형: 624. SQL 서버 오류 - service-specific error code 17051
12247정성태6/29/2020123.NET Framework: 918. C# - 불린 형 상수를 반환값으로 포함하는 3항 연산자 사용 시 단축 표현 권장(IDE0075) [2]파일 다운로드1
12246정성태6/29/202066.NET Framework: 917. C# - USB 관련 ETW(Event Tracing for Windows)를 이용한 키보드 입력을 감지하는 방법
12245정성태6/25/2020217.NET Framework: 916. C# - Task.Yield 사용법 (2) [2]파일 다운로드1
12244정성태6/29/202097.NET Framework: 915. ETW(Event Tracing for Windows)를 이용한 닷넷 프로그램의 내부 이벤트 활용파일 다운로드1
12243정성태6/23/202062VS.NET IDE: 147. Visual C++ 프로젝트 - .NET Core EXE를 "Debugger Type"으로 지원하는 기능 추가
12242정성태6/24/202037오류 유형: 623. AADSTS90072 - User account '...' from identity provider 'live.com' does not exist in tenant 'Microsoft Services'
12241정성태6/26/2020120.NET Framework: 914. C# - Task.Yield 사용법파일 다운로드1
12240정성태6/23/202088오류 유형: 622. 소켓 바인딩 시 "System.Net.Sockets.SocketException: An attempt was made to access a socket in a way forbidden by its access permissions" 오류 발생
12239정성태6/21/202065Linux: 30. (윈도우라면 DLL에 속하는) .so 파일이 텍스트로 구성된 사례
[1]  2  3  4  5  6  7  8  9  10  11  12  13  14  15  ...