Microsoft MVP성태의 닷넷 이야기
글쓴 사람
정성태 (techsharer at outlook.com)
홈페이지
첨부 파일

Win32 API 금지된 함수 - IsBadXxxPtr 유의 함수들이 안전하지 않은 이유

관련 함수들(IsBadReadPtr, IsBadWritePtr, IsBadCodePtr, IsBadHugeReadPtr, IsBadHugeWritePtr, IsBadReadPtr, IsBadStringPtr, IsBadWritePtr)에 대해 아래의 문서를 보면,

Warning C28720
; https://learn.microsoft.com/en-us/windows-hardware/drivers/devtest/28720-banned-api-usage-use-updated-function-replacement

금지된 API라고 나옵니다. 이에 대한 자세한 설명을 아래의 글에서 하고 있는데요,

IsBadXxxPtr should really be called CrashProgramRandomly
; https://devblogs.microsoft.com/oldnewthing/20060927-07/?p=29563

일례로 IsBadXxxPtr 함수들이 문제가 되는 경우는 하필 "Guard" 페이지를 가리킬 때라고 합니다. Guard 속성을 가진 페이지를 IsBadXxxPtr로 확인하려는 경우, 당연히 메모리 접근에 대한 예외가 발생하게 되는데 특별히 Guard Page 접근인 경우에 한해 STATUS_GUARD_PAGE_VIOLATION(0x80000001) 예외가 발생합니다. 문제는, 이 예외가 단 한 번 발생한다는 점입니다. 결국 그 한 번의 기회를 IsBadXxxPtr이 소비해 버린 것입니다.

원래는 STATUS_GUARD_PAGE_VIOLATION 예외가 발생하면, 커널에 구현된 기본 예외 핸들러가 동작한다고 합니다. 그 코드는 현재의 페이지에 대한 Guard 속성을 제거하고 다음 페이지를 (reserve 상태로부터) commit 시킨 후 다시 Guard 속성을 넣어둡니다.

따라서, 위와 같은 처리를 할 수 있는 단 한 번의 기회를 IsBadXxxPtr 접근으로 인해 날려 버리면, 이후 정상적인 스택 접근이 발생했을 때 Access Violation 예외를 얻게 됩니다.




그런데 정말 저 시나리오에서 문제가 발생할까요? Guard 페이지를 사용하는 예제를 보면,

Creating Guard Pages
; https://learn.microsoft.com/en-us/windows/win32/memory/creating-guard-pages

해당 Guard 페이지를 접근하면 자동으로 (커널 내의 예외 핸들러에 의해) commit이 됩니다. 따라서 IsBadXxxPtr 함수로 Guard 페이지를 접근해도 사실 그다지 문제 될 것이 없습니다. 실제로 ^^ 테스트를 해볼까요?

지난 글에서 작성한,

C# - VMMap처럼 스택 메모리의 reserve/guard/commit 상태 출력
; https://www.sysnet.pe.kr/2/0/13174

코드를 이용하면,

GetCurrentThreadStackLimits(out ulong stackLowLimit, out ulong stackHightLimit);

for (ulong page = stackLowLimit; page < stackHightLimit; page += 0x1000)
{
    Console.Write($"{IsBadReadPtr((nuint)page, 0x1000)},");
}

스레드 스택 전체에 걸쳐 4KB씩 IsBadReadPtr 테스트를 할 수 있습니다. 결과를 보면 대충 이렇게 나오는데요,

BaseAddress: 0x76f0200000 ~ 0x76f036a000, Size: 1448 KB, MEM_RESERVE, ,
BaseAddress: 0x76f036a000 ~ 0x76f036f000, Size: 20 KB, MEM_COMMIT, , PAGE_READWRITE, PAGE_GUARD
BaseAddress: 0x76f036f000 ~ 0x76f0380000, Size: 68 KB, MEM_COMMIT, , PAGE_READWRITE,

1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,
1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,
1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,
1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,
1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,
1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,
1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,
1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,
1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,0,0,0,0,0,0,0,0,0,0,0,0,0,0,0,0,0,0,0,0,0,0,


Bad가 아닌 경우, 즉 접근 가능한 메모리라면 0을 출력하는데, 그 수가 22개, 하나 당 4KB니까 88KB는 접근이 가능한 영역으로 나옵니다. 위의 경우 20KB 크기의 PAGE_GUARD를 포함한 PAGE_READWRITE 영역이 88KB니까 정확하게 일치합니다. 다른 영역은 MEM_RESERVE 영역으로 commit되지 않았으므로 IsBadReadPtr가 true를 반환하고 있습니다.

결국 위와 같이 모든 스택의 영역, 심지어 PAGE_GUARD 영역까지 모두 IsBadReadPtr로 접근했지만 이후 스택을 사용하는 코드에는 아무런 지장이 없습니다. 일례로 위와 같이 접근해 본 후 다음과 같이 스택을 사용하는 메서드를 호출해 보면,

AllocStack(0x150000); // 1,376,256 바이트 할당

private static unsafe void AllocStack(nuint lp)
{
    int size = (int)lp.ToUInt32();
    byte* buffer = stackalloc byte[size];

    for (int i = 0; i < size; i++)
    {
        buffer[i] = (byte)i;
    }
}

딱히 예외도 발생하지 않고, 심지어 Guard 처리까지 된 메모리 변화를 확인할 수 있습니다.

BaseAddress: 0xe05a600000 ~ 0xe05a629000, Size: 164 KB, MEM_RESERVE, ,
BaseAddress: 0xe05a629000 ~ 0xe05a62e000, Size: 20 KB, MEM_COMMIT, , PAGE_READWRITE, PAGE_GUARD
BaseAddress: 0xe05a62e000 ~ 0xe05a780000, Size: 1352 KB, MEM_COMMIT, , PAGE_READWRITE,

결국 IsBadReadPtr로 인한 문제는 발생하지 않은 것입니다.




그럼 뭐가 문제일까요? ^^ 이에 대한 힌트를 아래의 글에서 얻을 수 있습니다.

A closer look at the stack guard page
; https://devblogs.microsoft.com/oldnewthing/20220203-00/?p=106215

The default exception handler deals with the exception by looking to see if the address lies in the current stack’s guard page region.


그렇습니다. 현재의 스레드 스택은 IsBadReadPtr로 접근하는 경우 문제가 없지만, 만약 그 API로 다른 스레드의 Guard 페이지를 접근하면 상황이 달라집니다.

따라서 별도의 스레드를 하나 더 만들고, 그 스레드의 Guard 영역을 알아낸 후,

/*
            Thread t = new Thread(threadFunc);
            t.IsBackground = true;
            t.Start();
*/

[threadFunc-Thread]
region: 0x289ed00000 ~ 0x289ee72000, Size: 1480 KB, MEM_RESERVE,
region: 0x289ee72000 ~ 0x289ee75000, Size: 12 KB, MEM_COMMIT,  PAGE_READWRITE, PAGE_GUARD
region: 0x289ee75000 ~ 0x289ee80000, Size: 44 KB, MEM_COMMIT,  PAGE_READWRITE,

Main Thread에서 0x289ee72000 ~ 0x289ee75000에 해당하는 영역을 IsBadReadPtr로 접근 후, threadFunc의 스택 사용을 해보면 이제 비정상 종료가 발생합니다.

이때의 이벤트 로그를 보면 다음과 같은 2개의 항목을 볼 수 있습니다.

Log Name:      Application
Source:        Application Error
Date:          2022-12-27 오후 12:02:22
Event ID:      1000
Task Category: Application Crashing Events
Level:         Error
Keywords:      
User:          TESTPC\testusr
Computer:      TESTPC
Description:
Faulting application name: ConsoleApp1.exe, version: 1.0.0.0, time stamp: 0x634eda42
Faulting module name: unknown, version: 0.0.0.0, time stamp: 0x00000000
Exception code: 0xc0000005
Fault offset: 0x00007ffb9053cbc5
Faulting process id: 0x0x3E74
Faulting application start time: 0x0x1D90530CB044833
Faulting application path: E:\ConsoleApp1\bin\Debug\net7.0\ConsoleApp1.exe
Faulting module path: unknown
Report Id: f4670e5d-c540-4188-a429-14c2f7af28ed
Faulting package full name: 
Faulting package-relative application ID: 

Log Name:      Application
Source:        Windows Error Reporting
Date:          2022-12-27 오후 12:02:24
Event ID:      1001
Task Category: None
Level:         Information
Keywords:      
User:          TESTPC\testusr
Computer:      TESTPC
Description:
Fault bucket 1645473425782732294, type 4
Event Name: APPCRASH
Response: Not available
Cab Id: 0

Problem signature:
P1: ConsoleApp1.exe
P2: 1.0.0.0
P3: 634eda42
P4: StackHash_2264
P5: 0.0.0.0
P6: 00000000
P7: c0000005
P8: PCH_85_FROM_unknown+0x0000000000000000
P9: 
P10: 

Attached files:
\\?\C:\ProgramData\Microsoft\Windows\WER\Temp\WER.76e87983-6ca8-4978-8127-7772e93f9346.tmp.dmp
\\?\C:\ProgramData\Microsoft\Windows\WER\Temp\WER.ee08c1cb-0aff-4647-885b-aa189fdae820.tmp.WERInternalMetadata.xml
\\?\C:\ProgramData\Microsoft\Windows\WER\Temp\WER.fc61971f-ac1f-41b1-a0f6-c227d44dca6f.tmp.csv
\\?\C:\ProgramData\Microsoft\Windows\WER\Temp\WER.68ffa735-7c0d-404a-b8f9-383f07768b73.tmp.txt
\\?\C:\ProgramData\Microsoft\Windows\WER\Temp\WER.3b9ea7a5-67ff-42c8-9457-70e88fd1c0f7.tmp.xml

These files may be available here:
\\?\C:\ProgramData\Microsoft\Windows\WER\ReportArchive\AppCrash_ConsoleApp1.exe_e080991d1c119c52fcdcf8056fd3c94245fb34a_44c3bb71_0100cf69-ec81-4d09-b4ef-87c6d19b47da

Analysis symbol: 
Rechecking for solution: 0
Report Id: f4670e5d-c540-4188-a429-14c2f7af28ed
Report Status: 268435456
Hashed bucket: 01aa1feaa293331bc6d5e55cd71ff606
Cab Guid: 0

정리하면, 커널 내의 기본 핸들러는 STATUS_GUARD_PAGE_VIOLATION에 대해 현재 스레드의 스택에 대해서만 Guard 처리를 할 수 있는 것입니다.

(첨부 파일은 이 글의 예제 코드를 포함합니다.)




참고로, 현재 스레드인 경우 스택의 메모리 위치를 알려면 GetCurrentThreadStackLimits를 사용할 수 있습니다. 그렇다면 다른 스레드의 스택 위치는 어떻게 알 수 있을까요?

아마도 이에 대해서는 TEB를 접근해야만 가능할 듯합니다.

TEB
; http://undocumented.ntinternals.net/index.html?page=UserMode%2FUndocumented%20Functions%2FNT%20Objects%2FThread%2FTEB.html

.NET System.Threading.Thread 개체에서 Native Thread Id를 구할 수 있을까?
; https://www.sysnet.pe.kr/2/0/1244

.NET System.Threading.Thread 개체에서 Native Thread Id를 구하는 방법 - 두 번째 이야기
; https://www.sysnet.pe.kr/2/0/1724

.NET x64 응용 프로그램에서 Teb 주소를 구하는 방법
; https://www.sysnet.pe.kr/2/0/1388

0:032> dt _TEB
ntdll!_TEB
   +0x000 NtTib            : _NT_TIB
   +0x038 EnvironmentPointer : Ptr64 Void
    ...[생략]...

0:032> dt _NT_TIB
ntdll!_NT_TIB
   +0x000 ExceptionList    : Ptr64 _EXCEPTION_REGISTRATION_RECORD
   +0x008 StackBase        : Ptr64 Void
   +0x010 StackLimit       : Ptr64 Void
   +0x018 SubSystemTib     : Ptr64 Void
   +0x020 FiberData        : Ptr64 Void
   +0x020 Version          : Uint4B
   +0x028 ArbitraryUserPointer : Ptr64 Void
   +0x030 Self             : Ptr64 _NT_TIB

마지막으로, Guard 페이지를 사용하지 않고 reserve 메모리를 점차로 commit하는 방법도 있습니다. 이에 대해서는 아래의 글에서 예제 코드와 함께 설명하고 있습니다.

Reserving and Committing Memory
; https://learn.microsoft.com/en-us/windows/win32/Memory/reserving-and-committing-memory

// 리눅스와의 비교
Allocating Memory on Linux and Windows
; https://www.codeproject.com/Articles/1255908/Allocating-Memory-on-Linux-and-Windows




[이 글에 대해서 여러분들과 의견을 공유하고 싶습니다. 틀리거나 미흡한 부분 또는 의문 사항이 있으시면 언제든 댓글 남겨주십시오.]







[최초 등록일: ]
[최종 수정일: 2/11/2024]

Creative Commons License
이 저작물은 크리에이티브 커먼즈 코리아 저작자표시-비영리-변경금지 2.0 대한민국 라이센스에 따라 이용하실 수 있습니다.
by SeongTae Jeong, mailto:techsharer at outlook.com

비밀번호

댓글 작성자
 




[1]  2  3  4  5  6  7  8  9  10  11  12  13  14  15  ...
NoWriterDateCnt.TitleFile(s)
13563정성태2/21/202448디버깅 기술: 196. windbg - async/await 비동기인 경우 메모리 덤프 분석의 어려움
13562정성태2/21/202431오류 유형: 896. ASP.NET - .NET Framework 기본 예제에서 System.Web에 대한 System.IO.FileNotFoundException 예외 발생
13561정성태2/20/2024361닷넷: 2218. C# - (예를 들어, Socket) 비동기 I/O에 대한 await 호출 시 CancellationToken을 이용한 취소파일 다운로드1
13560정성태2/19/2024473디버깅 기술: 195. windbg 분석 사례 - Semaphore 잠금으로 인한 Hang 현상 (닷넷)
13559정성태2/19/2024603오류 유형: 895. ASP.NET - System.Security.SecurityException: 'Requested registry access is not allowed.'
13558정성태2/18/2024838닷넷: 2217. C# - 최댓값이 1인 SemaphoreSlim 보다 Mutex 또는 lock(obj)를 선택하는 것이 나은 이유
13557정성태2/18/2024515Windows: 258. Task Scheduler의 Author 속성 값을 변경하는 방법
13556정성태2/17/2024593Windows: 257. Windows - Symbolic (hard/soft) Link 및 Junction 차이점
13555정성태2/15/2024783닷넷: 2216. C# - SemaphoreSlim 사용 시 주의점
13554정성태2/15/2024584VS.NET IDE: 189. Visual Studio - 닷넷 소스코드 디컴파일 찾기가 안 될 때
13553정성태2/14/2024877닷넷: 2215. windbg - thin/fat lock 없이 동작하는 Monitor.Wait + Pulse
13552정성태2/13/2024887닷넷: 2214. windbg - Monitor.Enter의 thin lock과 fat lock
13551정성태2/12/20241096닷넷: 2213. ASP.NET/Core 웹 응용 프로그램 - 2차 스레드의 예외로 인한 비정상 종료
13550정성태2/11/20241138Windows: 256. C# - Server socket이 닫히면 Accept 시켰던 자식 소켓이 닫힐까요?
13549정성태2/3/20241406개발 환경 구성: 706. C# - 컨테이너에서 실행하기 위한 (소켓) 콘솔 프로젝트 구성
13548정성태2/1/20241244개발 환경 구성: 705. "Docker Desktop for Windows" - ASP.NET Core 응용 프로그램의 소켓 주소 바인딩(IPv4/IPv6 loopback, Any)
13547정성태1/31/20241103개발 환경 구성: 704. Visual Studio - .NET 8 프로젝트부터 dockerfile에 추가된 "USER app" 설정
13546정성태1/30/20241048Windows: 255. (디버거의 영향 등으로) 대상 프로세스가 멈추면 Socket KeepAlive로 연결이 끊길까요?
13545정성태1/30/2024973닷넷: 2212. ASP.NET Core - 우선순위에 따른 HTTP/HTTPS 호스트:포트 바인딩 방법
13544정성태1/30/20241009오류 유형: 894. Microsoft.Data.SqlClient - Could not load file or assembly 'System.Security.Permissions, ...'
13543정성태1/30/2024971Windows: 254. Windows - 기본 사용 중인 5357 포트 비활성화는 방법
13542정성태1/30/2024931오류 유형: 893. Visual Studio - Web Application을 실행하지 못하는 IISExpress - 두 번째 이야기
13541정성태1/29/2024965VS.NET IDE: 188. launchSettings.json의 useSSL 옵션
13540정성태1/29/20241116Linux: 69. 리눅스 - "Docker Desktop for Windows" Container 환경에서 IPv6 Loopback Address 바인딩 오류
13539정성태1/26/20241179개발 환경 구성: 703. Visual Studio - launchSettings.json을 이용한 HTTP/HTTPS 포트 바인딩
[1]  2  3  4  5  6  7  8  9  10  11  12  13  14  15  ...