Microsoft MVP성태의 닷넷 이야기
디버깅 기술: 176. windbg - 특정 Win32 API에서 BP가 안 걸리는 경우 (2) [링크 복사], [링크+제목 복사],
조회: 23883
글쓴 사람
정성태 (techsharer at outlook.com)
홈페이지
첨부 파일
 

(시리즈 글이 2개 있습니다.)
디버깅 기술: 175. windbg - 특정 Win32 API에서 BP가 안 걸리는 경우
; https://www.sysnet.pe.kr/2/0/12429

디버깅 기술: 176. windbg - 특정 Win32 API에서 BP가 안 걸리는 경우 (2)
; https://www.sysnet.pe.kr/2/0/12439




windbg - 특정 Win32 API에서 BP가 안 걸리는 경우 (2)

전에 알아본 방법이,

windbg - 특정 Win32 API에서 BP가 안 걸리는 경우
; https://www.sysnet.pe.kr/2/0/12429

WS2_32.dll의 함수들에는 제법 많이 틀리군요. ^^; 예를 들어 다음과 같이 간단한 예제도,

using System;
using System.Net;
using System.Net.Sockets;

class Program
{
    static void Main(string[] args)
    {
        Socket socket = new Socket(AddressFamily.InterNetwork, SocketType.Stream, ProtocolType.Tcp);

        byte[] buf = new byte[4];
        socket.GetSocketOption(SocketOptionLevel.Socket, SocketOptionName.ReuseAddress, buf);

        Console.ReadLine();
        socket.GetSocketOption(SocketOptionLevel.Socket, SocketOptionName.ReuseAddress, buf);
        socket.Bind(new IPEndPoint(IPAddress.Any, 0));
    }
}

Console.ReadLine 단계에서 windbg로 연결해 bp를 이렇게 걸어보면,

0:000> bp WS2_32!bind
0:000> bp WS2_32|getsockopt
0:000> bp WS2_32|socket

bind 빼고는 엉뚱한 곳에 걸립니다.

0:000> bl
     0 e Disable Clear  00007ff9`0bc209c0     0001 (0001)  0:**** ws2_32!bind
     1 e Disable Clear  00007ff9`0bebee90     0001 (0001)  0:**** sechost!ControlLookup+0x84a0
     2 e Disable Clear  00007ff9`0bdd81f0     0001 (0001)  0:**** IMM32!SendIMEMessageAll+0x24

문제는, 지난번과는 달리 이번엔 다른 DLL의 API를 호출하는 유형이 아니라서 IAT 검색도 도움이 안 됩니다.




할 수 없군요, 기존에 만들어 두었던 windbg 확장 DLL에,

Windbg 확장 DLL 만들기 (3) - C#으로 만드는 방법
; https://www.sysnet.pe.kr/2/0/12119

다음과 같은 ubp 함수를 추가했습니다.

// https://github.com/stjeong/DotNetSamples/blob/master/WinConsole/Debugger/NetDbgExt/UnmanagedMain.cs#L66

[DllExport(CallingConvention = CallingConvention.StdCall)]
public static uint ubp(IDebugClient pDebugClient, [MarshalAs(UnmanagedType.LPStr)] string args)
{
    if (!(pDebugClient is IDebugControl dbgControl))
    {
        return 0;
    }

    string[] arg = args.Split('!');
    if (arg.Length != 2)
    {
        dbgControl.Output(DEBUG_OUTPUT.NORMAL, $"Invalid argument\n");
        return 0;
    }

    string dllPath = arg[0];
    string apiName = arg[1];

    IntPtr ptrDllAddress = LoadLibrary(dllPath);
    if (ptrDllAddress == IntPtr.Zero)
    {
        dbgControl.Output(DEBUG_OUTPUT.NORMAL, $"DLL not found\n");
        return 0;
    }

    IntPtr ptrApiAddress = GetProcAddress(ptrDllAddress, apiName);
    if (ptrApiAddress == IntPtr.Zero)
    {
        dbgControl.Output(DEBUG_OUTPUT.NORMAL, $"API not found\n");
        return 0;
    }

    string text = (IntPtr.Size == 4) ? ptrApiAddress.ToInt32().ToString("x") : ptrApiAddress.ToInt64().ToString("x");
    dbgControl.Execute(DEBUG_OUTCTL.THIS_CLIENT, $"bp {text}", DEBUG_EXECUTE.DEFAULT);

    return 0;
}

그래서 다음과 같이 사용할 수 있어,

0:000> !NetDbgExt.ubp ws2_32.dll!getsockopt
0:000> bl
     0 e Disable Clear  00007ff9`0bc21b80     0001 (0001)  0:**** ws2_32!getsockopt

0:000> !ubp ws2_32.dll!bind
0:000> bl
     0 e Disable Clear  00007ff9`0bc21b80     0001 (0001)  0:**** ws2_32!getsockopt
     1 e Disable Clear  00007ff9`0bc209c0     0001 (0001)  0:**** ws2_32!bind

조금 편해졌군요.




하지만 ubp 확장 명령어에는 알아둬야 할 문제가 2가지 있습니다.

1) 우선, windbg.exe 프로세스 내에 대상 DLL들이 적재되어 올라온다는 점인데, 디버깅 중에 저렇게 써야 할 경우가 많지 않을 것이라는 점을 감안했을 때 크게 문제가 되지는 않습니다

2) ASLR에 의해 시스템 부팅 후 매번 주소가 달라지겠지만, 디버깅 중에는 같은 시스템 내에서 바뀔 일이 없으므로 대부분의 경우에 안전하게 사용할 수 있습니다. 하지만, (가령 이미 다른 DLL이 점유하고 있다거나 하는 등의 이유로) 대상 프로세스의 dll 로딩 주소가 windbg 내에서는 다른 로딩 주소로 매핑될 수 있기 때문에 ubp 명령어가 100% 동작할 거라는 기대를 해서는 안 됩니다.




[이 글에 대해서 여러분들과 의견을 공유하고 싶습니다. 틀리거나 미흡한 부분 또는 의문 사항이 있으시면 언제든 댓글 남겨주십시오.]







[최초 등록일: ]
[최종 수정일: 12/4/2020]

Creative Commons License
이 저작물은 크리에이티브 커먼즈 코리아 저작자표시-비영리-변경금지 2.0 대한민국 라이센스에 따라 이용하실 수 있습니다.
by SeongTae Jeong, mailto:techsharer at outlook.com

비밀번호

댓글 작성자
 



2023-05-09 10시28분
정성태

... 61  62  63  64  65  66  67  68  69  70  71  72  73  74  [75]  ...
NoWriterDateCnt.TitleFile(s)
12153정성태2/23/202024277.NET Framework: 898. Trampoline을 이용한 후킹의 한계파일 다운로드1
12152정성태2/23/202021301.NET Framework: 897. 실행 시에 메서드 가로채기 - CLR Injection: Runtime Method Replacer 개선 - 세 번째 이야기(Trampoline 후킹)파일 다운로드1
12151정성태2/22/202023960.NET Framework: 896. C# - Win32 API를 Trampoline 기법을 이용해 C# 메서드로 가로채는 방법 - 두 번째 이야기 (원본 함수 호출)파일 다운로드1
12150정성태2/21/202024056.NET Framework: 895. C# - Win32 API를 Trampoline 기법을 이용해 C# 메서드로 가로채는 방법 [1]파일 다운로드1
12149정성태2/20/202020964.NET Framework: 894. eBEST C# XingAPI 래퍼 - 연속 조회 처리 방법 [1]
12148정성태2/19/202025599디버깅 기술: 163. x64 환경에서 구현하는 다양한 Trampoline 기법 [1]
12147정성태2/19/202020955디버깅 기술: 162. x86/x64의 기계어 코드 최대 길이
12146정성태2/18/202022158.NET Framework: 893. eBEST C# XingAPI 래퍼 - 로그인 처리파일 다운로드1
12145정성태2/18/202023754.NET Framework: 892. eBEST C# XingAPI 래퍼 - Sqlite 지원 추가파일 다운로드1
12144정성태2/13/202023962.NET Framework: 891. 실행 시에 메서드 가로채기 - CLR Injection: Runtime Method Replacer 개선 - 두 번째 이야기파일 다운로드1
12143정성태2/13/202018361.NET Framework: 890. 상황별 GetFunctionPointer 반환값 정리 - x64파일 다운로드1
12142정성태2/12/202022276.NET Framework: 889. C# 코드로 접근하는 MethodDesc, MethodTable파일 다운로드1
12141정성태2/10/202021251.NET Framework: 888. C# - ASP.NET Core 웹 응용 프로그램의 출력 가로채기 [2]파일 다운로드1
12140정성태2/10/202022629.NET Framework: 887. C# - ASP.NET 웹 응용 프로그램의 출력 가로채기파일 다운로드1
12139정성태2/9/202022290.NET Framework: 886. C# - Console 응용 프로그램에서 UI 스레드 구현 방법
12138정성태2/9/202028536.NET Framework: 885. C# - 닷넷 응용 프로그램에서 SQLite 사용 [6]파일 다운로드1
12137정성태2/9/202020186오류 유형: 592. [AhnLab] 경고 - 디버거 실행을 탐지했습니다.
12136정성태2/6/202021851Windows: 168. Windows + S(또는 Q)로 뜨는 작업 표시줄의 검색 바가 동작하지 않는 경우
12135정성태2/6/202027639개발 환경 구성: 468. Nuget 패키지의 로컬 보관 폴더를 옮기는 방법 [2]
12134정성태2/5/202024909.NET Framework: 884. eBEST XingAPI의 C# 래퍼 버전 - XingAPINet Nuget 패키지 [5]파일 다운로드1
12133정성태2/5/202022655디버깅 기술: 161. Windbg 환경에서 확인해 본 .NET 메서드 JIT 컴파일 전과 후 - 두 번째 이야기
12132정성태1/28/202025684.NET Framework: 883. C#으로 구현하는 Win32 API 후킹(예: Sleep 호출 가로채기) [1]파일 다운로드1
12131정성태1/27/202024380개발 환경 구성: 467. LocaleEmulator를 이용해 유니코드를 지원하지 않는(한글이 깨지는) 프로그램을 실행하는 방법 [1]
12130정성태1/26/202022005VS.NET IDE: 142. Visual Studio에서 windbg의 "Open Executable..."처럼 EXE를 직접 열어 디버깅을 시작하는 방법
12129정성태1/26/202028965.NET Framework: 882. C# - 키움 Open API+ 사용 시 Registry 등록 없이 KHOpenAPI.ocx 사용하는 방법 [3]
12128정성태1/26/202023104오류 유형: 591. The code execution cannot proceed because mfc100.dll was not found. Reinstalling the program may fix this problem.
... 61  62  63  64  65  66  67  68  69  70  71  72  73  74  [75]  ...