Microsoft MVP성태의 닷넷 이야기
글쓴 사람
정성태 (techsharer at outlook.com)
홈페이지
첨부 파일

해당 DLL이 Managed인지 / Unmanaged인지 확인하는 방법 - 두 번째 이야기


예전에 다음과 같은 글을 쓴 적이 있었는데요. ^^

해당 DLL이 Managed인지 / Unmanaged인지 확인하는 방법
; https://www.sysnet.pe.kr/2/0/1279

그 때 당시에, 좀더 개선될 수 있는 것으로 PE 파일 포맷 분석하는 방법을 남겨놓았었는데요. 혹시나, ^^ 어떤 분이 그에 관해서 글을 쓰시지 않을까 하는... 기대를 갖고 있었는데, 오늘 기준으로 아무도 안 쓰시네요. ^^; 별로 관심 사항은 아닌가 봅니다.

어쨌든, 이번에는 PE 파일을 직접 살펴보고 Managed/Unmanaged 판별을 해낼 텐데요.

사실, 그다지 어려운 문제는 아닙니다. 게다가 PE 파일 포맷에 대해 잘 설명된 책도 있고요.

Windows 시스템 실행파일의 구조와 원리
; http://www.yes24.com/24/goods/1493278?scode=029

그럼, 우선 IMAGE_DOS_HEADER 먼저 구조체를 채워보는 것부터 시작하겠습니다.

책에 설명된 데로, 해당 구조체는 WinNT.h에 정의되어 있지만 여기서는 C# 에서 구현할 것이기 때문에 적절한 Interop 구조체가 필요합니다. 역시 ^^ pinvoke.net이 그 해답이겠지요.

IMAGE_DOS_HEADER
; http://www.pinvoke.net/default.aspx/Structures/IMAGE_DOS_HEADER.html

위의 정의를 이용하면 간단하게 다음과 같이 IMAGE_DOS_HEADER의 내용을 채울 수 있습니다.

using (FileStream fs = new FileStream(filePath, FileMode.Open, FileAccess.Read, FileShare.ReadWrite))
{
    // IMAGE_DOS_HEADER를 읽어들이고,
    IMAGE_DOS_HEADER dosHeader = new IMAGE_DOS_HEADER();
    {
        int dosHeaderSize = Marshal.SizeOf(dosHeader);
        byte[] dosHeaderBytes = new byte[dosHeaderSize];
        fs.Read(dosHeaderBytes, 0, dosHeaderSize);

        fixed (byte* p = dosHeaderBytes)
        {
            IntPtr ptr = new IntPtr(p);
            object objDosHeader = Marshal.PtrToStructure(ptr, typeof(IMAGE_DOS_HEADER));
            dosHeader = (IMAGE_DOS_HEADER)objDosHeader;
        }

        if (dosHeader.isValid == false) // _e_magic == "MZ"
        {
            return false;
        }
    }
}

(이후의 PE 포맷에 관련된 헤더들도 모두 기본적으로는 위와 같은 구조를 따릅니다.)

IMAGE_DOS_HEADER 이후에는 IMAGE_NT_HEADERS 구조체를 읽어들여야 하는데, 아쉽게도 IMAGE_NT_HEADERS 내부에 포함하고 있는 IMAGE_OPTIONAL_HEADER가 32비트/64비트 모듈에 따라 달라지므로 이 2가지를 한꺼번에 지원하기 위해 이에 대한 판단을 먼저 해야 합니다.

그러려면, 우선 'PE Signature' 바이트를 읽어서 넘어가고,

// IMAGE_NT_HEADERS - signature 를 읽어들이고,
{
    fs.Position = dosHeader.e_lfanew;
    byte [] ntSignature = new byte[4];
    fs.Read(ntSignature, 0, 4);

    // PE 헤더임을 확인 (IMAGE_NT_SIGNATURE == 0x00004550)
    if (ntSignature[0] != 80 || ntSignature[1] != 69 || ntSignature[2] != 0 || ntSignature[3] != 0)
    {
        return false;
    }
}

다행히 IMAGE_NT_HEADERS 내에 IMAGE_FILE_HEADER 구조체까지 이어서 읽어들이면 32비트/64비트 구별을 할 수 있게 됩니다.

// IMAGE_NT_HEADERS - IMAGE_FILE_HEADER를 읽어들임
IMAGE_FILE_HEADER ntFileHeader = new IMAGE_FILE_HEADER();
bool is64BitHeader = false;
{
    int ntFileHeaderSize = Marshal.SizeOf(ntFileHeader);
    byte[] ntFileHeaderBytes = new byte[ntFileHeaderSize];
    fs.Read(ntFileHeaderBytes, 0, ntFileHeaderSize);

    fixed (byte* p = ntFileHeaderBytes)
    {
        IntPtr ptr = new IntPtr(p);
        object objNtFileHeader = Marshal.PtrToStructure(ptr, typeof(IMAGE_FILE_HEADER));
        ntFileHeader = (IMAGE_FILE_HEADER)objNtFileHeader;
    }

    if (ntFileHeader.Machine == IMAGE_FILE_MACHINE_I386)
    {
        is64BitHeader = false;
    }
    else if (ntFileHeader.Machine == IMAGE_FILE_MACHINE_AMD64 ||
        ntFileHeader.Machine == IMAGE_FILE_MACHINE_IA64)
    {
        is64BitHeader = true;
    }
    else
    {
        return false;
    }
}

이걸로 모든 준비는 끝났습니다. .NET DLL/EXE의 경우, IMAGE_OPTIONAL_HEADER 내부의 DataDirectory 구조체 중의 하나인 CLRRuntimeHeader 값을 포함하고 있기 때문에 그 값이 유효한지를 판단해 내면 됩니다. 다음은 32비트인 경우에 사용될 수 있는 코드입니다.

ushort optionalHeaderSize = ntFileHeader.SizeOfOptionalHeader;
if (is64BitHeader == false)
{
    IMAGE_OPTIONAL_HEADER32 optionalHeader32 = new IMAGE_OPTIONAL_HEADER32();

    byte[] optionalHeaderBytes = new byte[optionalHeaderSize];
    fs.Read(optionalHeaderBytes, 0, optionalHeaderSize);

    fixed (byte* p = optionalHeaderBytes)
    {
        IntPtr ptr = new IntPtr(p);
        object objOptionalHeader = Marshal.PtrToStructure(ptr, typeof(IMAGE_OPTIONAL_HEADER32));
        optionalHeader32 = (IMAGE_OPTIONAL_HEADER32)objOptionalHeader;

        if (optionalHeader32.Magic != MagicType.IMAGE_NT_OPTIONAL_HDR32_MAGIC
            || optionalHeader32.NumberOfRvaAndSizes != 16)
        {
            return false;
        }
    }

    return optionalHeader32.CLRRuntimeHeader.VirtualAddress != 0;
}
else
{
    ...[생략: 32비트와 유사]...
}

원래 DataDirectory는 16개의 배열로 정의되는 것이 보통인데, 위의 코드에서는 C# Interop 코드에서 명시적으로 15번째 COM descriptor 요소를 CLRRuntimeHeader 속성으로 제공하고 있어 쉽게 접근하고 있습니다. 따라서, 그 값이 0이면 Native DLL이고, 그렇지 않으면 .NET DLL이 됩니다.

첨부된 파일은 지난 번 글에 포함된 소스 코드에다 이번 글의 IsManagedFromPE 메서드를 추가 구현한 것을 포함하고 있습니다.




[이 글에 대해서 여러분들과 의견을 공유하고 싶습니다. 틀리거나 미흡한 부분 또는 의문 사항이 있으시면 언제든 댓글 남겨주십시오.]

[연관 글]


donaricano-btn



[최초 등록일: ]
[최종 수정일: 3/3/2021 ]

Creative Commons License
이 저작물은 크리에이티브 커먼즈 코리아 저작자표시-비영리-변경금지 2.0 대한민국 라이센스에 따라 이용하실 수 있습니다.
by SeongTae Jeong, mailto:techsharer at outlook.com

비밀번호

댓글 쓴 사람
 



2012-06-08 07시01분
[윤성민] 저 같은 경우는 닷넷의 Version클래스로.. dll의 버전을 읽었을때 가져오면.. 그냥 managed판별하고 0으로 돌려주면 Unmanaged로 판별했던것으로 기억합니다만
[손님]
2012-06-08 02시48분
윤성민님의 경우 AssemblyName.GetAssemblyName(assemblyPath).Version 으로 알아낸다는 건가요? 그렇게 되면 결국 지난 번 글에서의 문제점과 같은 현상이 발생합니다.

해당 DLL 이 Managed 인지 / Unmanaged 인지 확인하는 방법
; http://www.sysnet.pe.kr/2/0/1279

위의 글 중간에 설명을 했지만, 경우에 따라서 System.BadImageFormatException 이 발생할 수 있습니다. ^^
정성태
2015-01-05 04시04분
정성태
2021-03-03 01시23분
정성태

[1]  2  3  4  5  6  7  8  9  10  11  12  13  14  15  ...
NoWriterDateCnt.TitleFile(s)
12594정성태4/11/202147.NET Framework: 1035. C# - kubectl 명령어 또는 REST API 대신 Kubernets 클라이언트 라이브러리를 통해 프로그래밍으로 접근파일 다운로드1
12593정성태4/10/202124개발 환경 구성: 567. Docker Desktop for Windows - kubectl proxy 없이 k8s 대시보드 접근 방법
12592정성태4/10/202144개발 환경 구성: 566. Docker Desktop for Windows - k8s dashboard의 Kubeconfig 로그인 및 Skip 방법
12591정성태4/9/202183.NET Framework: 1034. C# - byte 배열을 Hex(16진수) 문자열로 고속 변환하는 방법파일 다운로드1
12590정성태4/9/202148.NET Framework: 1033. C# - .NET 4.0 이하에서 Console.IsInputRedirected 구현
12589정성태4/8/202164.NET Framework: 1032. C# - Environment.OSVersion의 문제점 및 윈도우 운영체제의 버전을 구하는 다양한 방법
12588정성태4/7/202155개발 환경 구성: 565. PowerShell - New-SelfSignedCertificate를 사용해 CA 인증서 생성 및 인증서 서명 방법
12587정성태4/7/202183개발 환경 구성: 564. Windows 10 - ClickOnce 배포처럼 사용할 수 있는 MSIX 설치 파일
12586정성태4/5/202151오류 유형: 710 . Windows - Restart-Computer / shutdown 명령어 수행 시 Access is denied(E_ACCESSDENIED)
12585정성태4/5/202149개발 환경 구성: 563. 기본 생성된 kubeconfig 파일의 내용을 새롭게 생성한 인증서로 구성하는 방법
12584정성태4/5/202174개발 환경 구성: 562. kubeconfig 파일 없이 kubectl 옵션만으로 실행하는 방법
12583정성태3/29/2021129개발 환경 구성: 561. kubectl 수행 시 다른 k8s 클러스터로 접속하는 방법
12582정성태3/29/202156오류 유형: 709. Visual C++ - 컴파일 에러 error C2059: syntax error: '__stdcall'
12581정성태3/28/2021239.NET Framework: 1031. WinForm/WPF에서 Console 창을 띄워 출력하는 방법 (2) - Output 디버깅 출력을 AllocConsole로 우회 [2]
12580정성태3/28/202152오류 유형: 708. SQL Server Management Studio - Execution Timeout Expired.
12579정성태3/28/202163오류 유형: 707. 중첩 가상화(Nested Virtualization) - The virtual machine could not be started because this platform does not support nested virtualization.
12578정성태3/27/2021136개발 환경 구성: 560. Docker Desktop for Windows 기반의 Kubernetes 구성 (2) - WSL 2 인스턴스에 kind가 구성한 k8s 서비스 위치
12577정성태3/29/2021169개발 환경 구성: 559. Docker Desktop for Windows 기반의 Kubernetes 구성 - WSL 2 인스턴스에 kind 도구로 k8s 클러스터 구성
12576정성태3/25/2021164개발 환경 구성: 558. Docker Desktop for Windows에서 DockerDesktopVM 기반의 Kubernetes 구성 (2) - k8s 서비스 위치
12575정성태3/24/2021143개발 환경 구성: 557. Docker Desktop for Windows에서 DockerDesktopVM 기반의 Kubernetes 구성
12574정성태3/28/2021199.NET Framework: 1030. C# Socket의 Close/Shutdown 동작 (동기 모드)
12573정성태4/1/202187개발 환경 구성: 556. WSL 인스턴스 초기 설정 명령어
12572정성태3/28/2021164.NET Framework: 1029. C# - GC 호출로 인한 메모리 압축(Compaction)을 확인하는 방법파일 다운로드1
12571정성태4/1/2021176오류 유형: 706. WSL 2 기반으로 "Enable Kubernetes" 활성화 시 초기화 실패 [1]
12570정성태4/7/2021112개발 환경 구성: 555. openssl - CA로부터 인증받은 새로운 인증서를 생성하는 방법
[1]  2  3  4  5  6  7  8  9  10  11  12  13  14  15  ...