Microsoft MVP성태의 닷넷 이야기
.NET Framework: 2071. 닷넷에서 ESP/RSP 레지스터 값을 구하는 방법 [링크 복사], [링크+제목 복사],
조회: 14670
글쓴 사람
정성태 (techsharer at outlook.com)
홈페이지
첨부 파일
(연관된 글이 1개 있습니다.)
(시리즈 글이 2개 있습니다.)
.NET Framework: 467. 닷넷에서 EIP/RIP 레지스터 값을 구하는 방법
; https://www.sysnet.pe.kr/2/0/1762

.NET Framework: 2071. 닷넷에서 ESP/RSP 레지스터 값을 구하는 방법
; https://www.sysnet.pe.kr/2/0/13172




닷넷에서 ESP/RSP 레지스터 값을 구하는 방법

사실 이에 대한 소스는 다음의 글에서 이미 모두 다뤘습니다.

Visual C++ / x64 환경에서 inline-assembly를 매크로 어셈블리로 대체하는 방법 - 두 번째 이야기
; https://www.sysnet.pe.kr/2/0/11691

C++의 inline asm 사용을 .NET으로 포팅하는 방법
; https://www.sysnet.pe.kr/2/0/1267

닷넷에서 EIP/RIP 레지스터 값을 구하는 방법
; https://www.sysnet.pe.kr/2/0/1762

따라서 남은 작업은 RSP 레지스터의 값을 읽어들이는 기계어 코드를 알아내고,

// x64
        mov rax, rsp
00007FF6FFF01A40 48 8B C4             mov         rax,rsp  
        ret
00007FF6FFF01A43 C3                   ret  

// x86
        mov eax, esp
00841780 8B C4                mov         eax,esp  
        ret
00841782 C3                   ret  

이것을 코드 페이지로 할당해 호출하기만 하면 됩니다.

using System.Runtime.InteropServices;

namespace ConsoleApp1
{
    internal class Program
    {
        private readonly static byte[] x86GetSP =
       {
            0x8b, 0xc4,  // mov eax,esp  
            0xc3,   // ret
        };

        private readonly static byte[] x64GetSP =
        {
            0x48, 0x8b, 0xc4, // mov rax, rsp
            0xc3,   // ret
        };

        [Flags()]
        private enum AllocationType : uint
        {
            COMMIT = 0x1000,
            RESERVE = 0x2000,
        }

        [Flags()]
        public enum MemoryProtection : uint
        {
            EXECUTE_READWRITE = 0x40,
        }

        [DllImport("kernel32.dll", SetLastError = true)]
        private static extern IntPtr VirtualAlloc(IntPtr lpAddress, UIntPtr dwSize, AllocationType flAllocationType,
            MemoryProtection flProtect);

        [DllImport("kernel32")]
        private static extern bool VirtualFree(IntPtr lpAddress, UInt32 dwSize, UInt32 dwFreeType);

        [UnmanagedFunctionPointerAttribute(CallingConvention.Cdecl)]
        private delegate int GetSPRegister32();

        [UnmanagedFunctionPointerAttribute(CallingConvention.StdCall)]
        private delegate long GetSPRegister64();

        static unsafe void Main(string[] args)
        {
            IntPtr _codePointer;

            GetSPRegister32 _x86Call;
            GetSPRegister64 _x64Call;

            byte[] codeBytes = x86GetSP;

            if (IntPtr.Size == 8)
            {
                codeBytes = x64GetSP;
            }

            _codePointer = VirtualAlloc(IntPtr.Zero, new UIntPtr((uint)codeBytes.Length),
                AllocationType.COMMIT | AllocationType.RESERVE,
                MemoryProtection.EXECUTE_READWRITE
            );

            Marshal.Copy(codeBytes, 0, _codePointer, codeBytes.Length);

            if (IntPtr.Size == 4)
            {
                _x86Call = (GetSPRegister32)Marshal.GetDelegateForFunctionPointer(
                      _codePointer, typeof(GetSPRegister32));

                Console.WriteLine(_x86Call());
            }
            else
            {
                _x64Call = (GetSPRegister64)Marshal.GetDelegateForFunctionPointer(
                      _codePointer, typeof(GetSPRegister64));

                long result = _x64Call();
                Console.WriteLine($"0x{result:x}");
            }

            if (_codePointer != IntPtr.Zero)
            {
                VirtualFree(_codePointer, 0, 0x8000);
                _codePointer = IntPtr.Zero;
            }
        }
    }
}

위의 코드를 Visual Studio 내에서 디버깅해 보면 실제 SP 레지스터의 값과 비교할 수 있습니다. 이 과정에서 다음의 차이를 알 수 있는데요,

[Visual Studio의 Registers 창에 출력된 RSP 값]
RSP = 000000193918E470

[코드로 읽어낸 RSP 값]
    0x193918e528

대략 그 차이가 0xb8이 나옵니다. 이렇게 큰 차이가 나는 것은 닷넷에서 EIP/RIP 레지스터 값을 구하는 방법 글에서도 언급했지만 delegate의 내부 구현 때문입니다.




저런 오차를 C# 9.0에 나온 함수 포인터를 이용하면 극복할 수 있습니다.

C# 9.0 - (6) 함수 포인터(Function pointers)
; https://www.sysnet.pe.kr/2/0/12374

즉, delegate를 통해 호출하지 않고 직접 함수 포인터로 호출하는 것입니다.

delegate*<long> getSP = (delegate*<long>)_codePointer;
long addressByFunc = getSP();
Console.WriteLine($"0x{addressByFunc:x}");

이렇게 바꾸고 다시 비주얼 스튜디오로 확인해 보면,

[Visual Studio의 Registers 창에 출력된 RSP 값]
RSP = 000000193918E470

[코드로 읽어낸 RSP 값]
    0x193918e468

(System.Delegate의 내부 구현이 사라져) 순수하게 native 메서드 호출로 바뀌었으므로 (반환 주솟값이 반영된) 0x08 (32비트의 경우 0x04) 값만 차이가 나는 것입니다.

따라서 현재 caller 입장에서의 RSP 값을 단순히 8(또는 4)을 보정하는 것으로 구할 수 있습니다.

private readonly static byte[] x86GetSP =
{
    0x8b, 0xc4,  // mov eax,esp  
    0x83, 0xe8, 0x04, // add eax, 4
    0xc3,   // ret
};

private readonly static byte[] x64GetSP =
{
    0x48, 0x8b, 0xc4, // mov rax, rsp
    0x48, 0x83, 0xe8, 0x08, // add rax, 8
    0xc3,   // ret
};

테스트해보면, 정확히 일치한 값을 얻게 됩니다. ^^

get_rsp_1.png

(첨부 파일은 이 글의 소스 코드를 포함합니다.)




using System.Runtime.InteropServices;

namespace ConsoleApp1
{
    internal class Program
    {
        private readonly static byte[] x86GetSP =
        {
            0x8b, 0xc4,  // mov eax,esp  
            0x83, 0xc0, 0x04, // add eax, 4
            0xc3,   // ret
        };

        private readonly static byte[] x64GetSP =
        {
            0x48, 0x8b, 0xc4, // mov rax, rsp
            0x48, 0x83, 0xc0, 0x08, // add rax, 8
            0xc3,   // ret
        };

        [Flags()]
        private enum AllocationType : uint
        {
            COMMIT = 0x1000,
            RESERVE = 0x2000,
        }

        [Flags()]
        public enum MemoryProtection : uint
        {
            EXECUTE_READWRITE = 0x40,
        }

        [DllImport("kernel32.dll", SetLastError = true)]
        private static extern IntPtr VirtualAlloc(IntPtr lpAddress, UIntPtr dwSize, AllocationType flAllocationType,
            MemoryProtection flProtect);

        [DllImport("kernel32")]
        private static extern bool VirtualFree(IntPtr lpAddress, UInt32 dwSize, UInt32 dwFreeType);

        static unsafe void Main(string[] args)
        {
            IntPtr _codePointer;

            byte[] codeBytes = x86GetSP;

            if (IntPtr.Size == 8)
            {
                codeBytes = x64GetSP;
            }

            _codePointer = VirtualAlloc(IntPtr.Zero, new UIntPtr((uint)codeBytes.Length),
                AllocationType.COMMIT | AllocationType.RESERVE,
                MemoryProtection.EXECUTE_READWRITE
            );

            Marshal.Copy(codeBytes, 0, _codePointer, codeBytes.Length);

            if (IntPtr.Size == 4)
            {
                delegate*<int> getSP = (delegate*<int>)_codePointer;
                int addressByFunc = getSP();
                Console.WriteLine($"0x{addressByFunc:x}");
            }
            else
            {
                delegate*<long> getSP = (delegate*<long>)_codePointer;
                long addressByFunc = getSP();
                Console.WriteLine($"0x{addressByFunc:x16}");
            }

            if (_codePointer != IntPtr.Zero)
            {
                VirtualFree(_codePointer, 0, 0x8000);
                _codePointer = IntPtr.Zero;
            }
        }
    }
}




[이 글에 대해서 여러분들과 의견을 공유하고 싶습니다. 틀리거나 미흡한 부분 또는 의문 사항이 있으시면 언제든 댓글 남겨주십시오.]

[연관 글]






[최초 등록일: ]
[최종 수정일: 11/26/2022]

Creative Commons License
이 저작물은 크리에이티브 커먼즈 코리아 저작자표시-비영리-변경금지 2.0 대한민국 라이센스에 따라 이용하실 수 있습니다.
by SeongTae Jeong, mailto:techsharer at outlook.com

비밀번호

댓글 작성자
 




... 31  32  33  34  35  36  37  38  39  40  41  42  [43]  44  45  ...
NoWriterDateCnt.TitleFile(s)
12908정성태1/10/202213420.NET Framework: 1132. C# - ref/out 매개변수의 IL 코드 처리
12907정성태1/9/202215260오류 유형: 781. (youtube-dl.exe) 실행 시 "This app can't run on your PC" / "Access is denied." 오류 발생
12906정성태1/9/202217644.NET Framework: 1131. C# - 네임스페이스까지 동일한 타입을 2개의 DLL에서 제공하는 경우 충돌을 우회하는 방법 [1]파일 다운로드1
12905정성태1/8/202216725오류 유형: 780. Could not load file or assembly 'Microsoft.VisualStudio.TextTemplating.VSHost.15.0, Version=16.0.0.0, Culture=neutral, PublicKeyToken=b03f5f7f11d50a3a' or one of its dependencies.
12904정성태1/8/202218706개발 환경 구성: 623. Visual Studio 2022 빌드 환경을 위한 github Actions 설정 [1]
12903정성태1/7/202217828.NET Framework: 1130. C# - ELEMENT_TYPE_INTERNAL 유형의 사용 예
12902정성태1/7/202216459오류 유형: 779. SQL 서버 로그인 에러 - provider: Shared Memory Provider, error: 0 - No process is on the other end of the pipe.
12901정성태1/5/202217487오류 유형: 778. C# - .NET 5+에서 warning CA1416: This call site is reachable on all platforms. '...' is only supported on: 'windows' 경고 발생
12900정성태1/5/202219967개발 환경 구성: 622. vcpkg로 ffmpeg를 빌드하는 경우 생성될 구성 요소 제어하는 방법
12899정성태1/3/202219465개발 환경 구성: 621. windbg에서 python 스크립트 실행하는 방법 - pykd (2)
12898정성태1/2/202220065.NET Framework: 1129. C# - ffmpeg(FFmpeg.AutoGen)를 이용한 비디오 인코딩 예제(encode_video.c) [1]파일 다운로드1
12897정성태1/2/202216772.NET Framework: 1128. C# - 화면 캡처한 이미지를 ffmpeg(FFmpeg.AutoGen)로 동영상 처리 [4]파일 다운로드1
12896정성태1/1/202222732.NET Framework: 1127. C# - FFmpeg.AutoGen 라이브러리를 이용한 기본 프로젝트 구성파일 다운로드1
12895정성태12/31/202119202.NET Framework: 1126. C# - snagit처럼 화면 캡처를 연속으로 수행해 동영상 제작 [1]파일 다운로드1
12894정성태12/30/202118103.NET Framework: 1125. C# - DefaultObjectPool<T>의 IDisposable 개체에 대한 풀링 문제 [3]파일 다운로드1
12893정성태12/27/202119813.NET Framework: 1124. C# - .NET Platform Extension의 ObjectPool<T> 사용법 소개파일 다운로드1
12892정성태12/26/202115580기타: 83. unsigned 형의 이전 값이 최댓값을 넘어 0을 지난 경우, 값의 차이를 계산하는 방법
12891정성태12/23/202117370스크립트: 38. 파이썬 - uwsgi의 --master 옵션
12890정성태12/23/202116946VC++: 152. Golang - (문자가 아닌) 바이트 위치를 반환하는 strings.IndexRune 함수
12889정성태12/22/202119260.NET Framework: 1123. C# - (SharpDX + DXGI) 화면 캡처한 이미지를 빠르게 JPG로 변환하는 방법파일 다운로드1
12888정성태12/21/202116357.NET Framework: 1122. C# - ImageCodecInfo 사용 시 System.Drawing.Image와 System.Drawing.Bitmap에 따른 Save 성능 차이파일 다운로드1
12887정성태12/21/202120912오류 유형: 777. OpenCVSharp4를 사용한 프로그램 실행 시 "The type initializer for 'OpenCvSharp.Internal.NativeMethods' threw an exception." 예외 발생
12886정성태12/20/202116033스크립트: 37. 파이썬 - uwsgi의 --enable-threads 옵션 [2]
12885정성태12/20/202118227오류 유형: 776. uwsgi-plugin-python3 환경에서 MySQLdb 사용 환경
12884정성태12/20/202117191개발 환경 구성: 620. Windows 10+에서 WMI root/Microsoft/Windows/WindowsUpdate 네임스페이스 제거
12883정성태12/19/202116600오류 유형: 775. uwsgi-plugin-python3 환경에서 "ModuleNotFoundError: No module named 'django'" 오류 발생
... 31  32  33  34  35  36  37  38  39  40  41  42  [43]  44  45  ...