Microsoft MVP성태의 닷넷 이야기
글쓴 사람
정성태 (techsharer at outlook.com)
홈페이지
첨부 파일
 
(연관된 글이 1개 있습니다.)

windbg - 32비트 프로세스의 메모리 덤프인 경우 !peb 명령어로 나타나지 않는 환경 변수

간단하게 다음의 코드를 작성하고,

using System;

internal class Program
{
    static void Main(string[] args)
    {
        Environment.SetEnvironmentVariable("TEST", "1");
        Console.ReadLine();
    }
}

32비트로 빌드한 다음, 64비트 운영체제에서 실행해 봅니다. 이후 Console.ReadLine에 걸려 있는 프로세스를 "작업 관리자"를 이용해 메모리 덤프를 떠 windbg로 확인하면 다음과 같이 "TEST" 환경 변수가 없습니다.

0:000> !peb
Wow64 PEB32 at d4c000
    ...[생략]...
    Environment:  0000000000000000
       Unable to read Environment string.

Wow64 PEB at 0000000000d4b000
    InheritedAddressSpace:    No
    ...[생략]...
    DllPath:      '< Name not readable >'
    Environment:  00000000010b1300
        ...[생략]...
        TEMP=C:\Users\testusr\AppData\Local\Temp
        ThreadedWaitDialogDpiContext=-4
        ...[생략]...

대신 동일한 32비트 프로세스를 process explorer로 메모리 덤프를 뜨면 이렇게 잘 나옵니다.

0:000> !peb
PEB at 00d4c000
    InheritedAddressSpace:    No
    ...[생략]...
    DllPath:      '< Name not readable >'
    Environment:  0121c730
        ...[생략]...
        TEMP=C:\Users\testusr\AppData\Local\Temp
        TEST=1
        ThreadedWaitDialogDpiContext=-4
        ...[생략]...

결국, 64비트 환경에서 32비트 프로세스에 대해서는 언제나 작업 관리자가 아닌 process explorer를 이용하는 것이 답입니다. ^^

windbg - SOS does not support the current target architecture.
; https://www.sysnet.pe.kr/2/0/11262

WinDbg - Failed to load data access module, 0x80004002
; https://www.sysnet.pe.kr/2/0/12994




비록 작업 관리자가 뜬 메모리 덤프의 해석을 windbg가 혼동하고는 있지만 해당 덤프에는 정상적으로 데이터가 담겨 있다는 사실에는 변함이 없습니다. 따라서, 약간의 단계를 추가하면 (변경된) 환경 변수를 보는 것이 가능합니다.

위의 2개 덤프 기록에서 !peb 명령어의 결과를 보면,

// 작업 관리자로 뜬 x86 프로세스의 덤프

0:000> !peb
Wow64 PEB32 at d4c000
        ...[생략]...

// Process Explorer로 뜬 x86 프로세스의 덤프

0:000> !peb
PEB at 00d4c000
    ...[생략]...

그나마 "Wow64 PEB32"로 출력된 d4c000 주소가 (변경된 환경 변수의 위치를 담고 있는) PEB의 주소와 같다는 것을 확인할 수 있습니다. PEB 구조체는 다음과 같이 정의되고,

// https://theroadtodelphi.com/2012/05/26/getting-the-environment-variables-of-an-external-x86-process/
typedef struct _PEB {
  BYTE                          Reserved1[2];
  BYTE                          BeingDebugged;
  BYTE                          Reserved2[1];
  PVOID                         Reserved3[2];
  PPEB_LDR_DATA                 Ldr;
  PRTL_USER_PROCESS_PARAMETERS  ProcessParameters;
  BYTE                          Reserved4[104];
  PVOID                         Reserved5[52];
  PPS_POST_PROCESS_INIT_ROUTINE PostProcessInitRoutine;
  BYTE                          Reserved6[128];
  PVOID                         Reserved7[1];
  ULONG                         SessionId;
} PEB, *PPEB;

0:000> dt _PEB32
ntdll!_PEB32
   +0x000 InheritedAddressSpace : UChar
   +0x001 ReadImageFileExecOptions : UChar
   +0x002 BeingDebugged    : UChar
   +0x003 BitField         : UChar
   +0x003 ImageUsesLargePages : Pos 0, 1 Bit
   +0x003 IsProtectedProcess : Pos 1, 1 Bit
   +0x003 IsImageDynamicallyRelocated : Pos 2, 1 Bit
   +0x003 SkipPatchingUser32Forwarders : Pos 3, 1 Bit
   +0x003 IsPackagedProcess : Pos 4, 1 Bit
   +0x003 IsAppContainer   : Pos 5, 1 Bit
   +0x003 IsProtectedProcessLight : Pos 6, 1 Bit
   +0x003 IsLongPathAwareProcess : Pos 7, 1 Bit
   +0x004 Mutant           : Uint4B
   +0x008 ImageBaseAddress : Uint4B
   +0x00c Ldr              : Uint4B
   +0x010 ProcessParameters : Uint4B
   +0x014 SubSystemData    : Uint4B
    // ...[생략]...

환경 변수는 "ProcessParameters" 필드가 가리키는 주소에 포함돼 있습니다. 다행히 이 값은 저 구조체를 보고 구하는 것도 가능하지만,

0:000> dd d4c000 + 0x10 L1
00000000`00d4c010  011b69c8

!peb 명령어의 결과에도 나오므로 그 값을 그대로 재활용하면 됩니다.

0:000> !peb
Wow64 PEB32 at d4c000
    InheritedAddressSpace:    No
    ReadImageFileExecOptions: No
    BeingDebugged:            No
    ImageBaseAddress:         0000000000be0000
    NtGlobalFlag:             0
    NtGlobalFlag2:            0
    Ldr                       000000007747cb00
    ***  _PEB_LDR_DATA type was not found...
    *** unable to read Ldr table at 000000007747cb00
    SubSystemData:     0000000000000000
    ProcessHeap:       00000000011b0000
    ProcessParameters: 00000000011b69c8
    ...[생략]...

이렇게 구한 ProcessParameters 구조체는 다음과 같은데,

// https://theroadtodelphi.com/2012/05/26/getting-the-environment-variables-of-an-external-x86-process/
typedef struct _RTL_USER_PROCESS_PARAMETERS
{
     ULONG MaximumLength;
     ULONG Length;
     ULONG Flags;
     ULONG DebugFlags;
     PVOID ConsoleHandle;
     ULONG ConsoleFlags;
     PVOID StandardInput;
     PVOID StandardOutput;
     PVOID StandardError;
     CURDIR CurrentDirectory;
     UNICODE_STRING DllPath;
     UNICODE_STRING ImagePathName;
     UNICODE_STRING CommandLine;
     PVOID Environment;
     ...[생략]...
} RTL_USER_PROCESS_PARAMETERS, *PRTL_USER_PROCESS_PARAMETERS;

아쉽게도 x64 windbg 버전의 dt 명령어로는 32비트 포인터를 사용하지 않으므로 정확한 오프셋을 구할 수는 없으므로, 위의 구조체를 보고 직접 오프셋을 구해야 합니다. 혹은, windbg에서 !wow64exts.sw 명령어로 모드 변경을 한 다음 _RTL_USER_PROCESS_PARAMETERS 구조체를 구하면 다음과 같이 32비트 환경의 오프셋으로 출력됩니다.

0:000> !wow64exts.sw
Switched to Guest (WoW) mode

0:000:x86> dt _RTL_USER_PROCESS_PARAMETERS
ntdll_77350000!_RTL_USER_PROCESS_PARAMETERS
   +0x000 MaximumLength    : Uint4B
   +0x004 Length           : Uint4B
   +0x008 Flags            : Uint4B
   +0x00c DebugFlags       : Uint4B
   +0x010 ConsoleHandle    : Ptr32 Void
   +0x014 ConsoleFlags     : Uint4B
   +0x018 StandardInput    : Ptr32 Void
   +0x01c StandardOutput   : Ptr32 Void
   +0x020 StandardError    : Ptr32 Void
   +0x024 CurrentDirectory : _CURDIR
   +0x030 DllPath          : _UNICODE_STRING
   +0x038 ImagePathName    : _UNICODE_STRING
   +0x040 CommandLine      : _UNICODE_STRING
   +0x048 Environment      : Ptr32 Void
   +0x04c StartingX        : Uint4B
   +0x050 StartingY        : Uint4B
   +0x054 CountX           : Uint4B
   +0x058 CountY           : Uint4B
   +0x05c CountCharsX      : Uint4B
   +0x060 CountCharsY      : Uint4B
   +0x064 FillAttribute    : Uint4B
   +0x068 WindowFlags      : Uint4B
   +0x06c ShowWindowFlags  : Uint4B
   +0x070 WindowTitle      : _UNICODE_STRING
   +0x078 DesktopInfo      : _UNICODE_STRING
   +0x080 ShellInfo        : _UNICODE_STRING
   +0x088 RuntimeData      : _UNICODE_STRING
   +0x090 CurrentDirectores : [32] _RTL_DRIVE_LETTER_CURDIR
   +0x290 EnvironmentSize  : Uint4B
   +0x294 EnvironmentVersion : Uint4B
    // ...[생략]...

이렇게 0x48, 0x290 오프셋 값을 이용해, 최종적으로 다음과 같이 덤프를 하시면 됩니다.

0:000> dd 011b69c8 + 0x48 L1
00000000`011b6a10  0121c730

0:000> dd 011b69c8 + 0x290 L1
00000000`011b6c58  000023f2

0:000> db 121c730 L000023f2
...[생략: 환경 변수 출력]...




정리해 보면, 64비트 운영체제에서 실행되는 32비트 프로세스의 경우 PEB가 2개 버전으로 관리된다는 것인데요, 우선 64비트 PEB에는 프로세스 시작 시점의 환경 변수가 반영되고 이후 Wow64 PEB로 복사되고 나서는 프로세스의 코드에 따른 변경 사항이 Wow64 PEB에서 이뤄진다는 것을 알 수 있습니다.

그렇다면 위와 같은 결과는, 이제 반대로도 생각할 수 있습니다. 64비트 운영체제에서 실행된 32비트 프로세스의 덤프를 Process Explorer로 뜬 경우, 변경된 환경 변수의 버전이 아닌, 초기 프로세스 실행 시점의 환경 변수도 함께 구할 수 있다는 것입니다.

다시 메모리 덤프를 출력한 결과를 볼까요?

// 작업 관리자로 뜬 x86 프로세스의 덤프

0:000> !peb
Wow64 PEB32 at d4c000
    ...[생략]...

Wow64 PEB at 0000000000d4b000
    InheritedAddressSpace:    No
    ...[생략: 프로세스 실행 시점의 환경 변수를 담고 있는 PEB]...

// Process Explorer로 뜬 x86 프로세스의 덤프

0:000> !peb
PEB at 00d4c000
    ...[생략]...

아쉽게도, "Process Explorer로 뜬 x86 프로세스의 덤프"에서는 "Wow64 PEB"의 주소인 0x0d4b000 값을 구할 수 없습니다. 단지, 2개의 메모리 주소가 0x1000 (4KB) 차이가 난다는 것에서 운이 좋다면 PEB 주소에서 그만큼을 빼는 것도 가능할 것입니다. 이후의 과정은 64비트 버전의 _PEB, _RTL_USER_PROCESS_PARAMETERS 구조체 오프셋 연산을 통해 초기 환경 변수의 구성을 구할 수 있습니다. 다시 말하지만... 운이 좋다면! ^^)




[이 글에 대해서 여러분들과 의견을 공유하고 싶습니다. 틀리거나 미흡한 부분 또는 의문 사항이 있으시면 언제든 댓글 남겨주십시오.]

[연관 글]






[최초 등록일: ]
[최종 수정일: 1/12/2023]

Creative Commons License
이 저작물은 크리에이티브 커먼즈 코리아 저작자표시-비영리-변경금지 2.0 대한민국 라이센스에 따라 이용하실 수 있습니다.
by SeongTae Jeong, mailto:techsharer at outlook.com

비밀번호

댓글 작성자
 




1  2  3  4  5  6  7  8  9  10  [11]  12  13  14  15  ...
NoWriterDateCnt.TitleFile(s)
13312정성태4/8/20233150Windows: 244. Win32 - 시간 만료를 갖는 MessageBox 대화창 구현 (개선된 버전)파일 다운로드1
13311정성태4/7/20233562C/C++: 163. Visual Studio 2022 - DirectShow 예제 컴파일(WAV Dest)
13310정성태4/6/20233158C/C++: 162. Visual Studio - /NODEFAULTLIB 옵션 설정 후 수동으로 추가해야 할 library
13309정성태4/5/20233367.NET Framework: 2107. .NET 6+ FileStream의 구조 변화
13308정성태4/4/20233207스크립트: 47. 파이썬의 time.time() 실숫값을 GoLang / C#에서 사용하는 방법
13307정성태4/4/20233015.NET Framework: 2106. C# - .NET Core/5+ 환경의 Windows Forms 응용 프로그램에서 HINSTANCE 구하는 방법
13306정성태4/3/20232922Windows: 243. Win32 - 윈도우(cbWndExtra) 및 윈도우 클래스(cbClsExtra) 저장소 사용 방법
13305정성태4/1/20233171Windows: 242. Win32 - 시간 만료를 갖는 MessageBox 대화창 구현 (쉬운 버전)파일 다운로드1
13304정성태3/31/20233478VS.NET IDE: 181. Visual Studio - C/C++ 프로젝트에 application manifest 적용하는 방법
13303정성태3/30/20232807Windows: 241. 환경 변수 %PATH%에 DLL을 찾는 규칙
13302정성태3/30/20233412Windows: 240. RDP 환경에서 바뀌는 %TEMP% 디렉터리 경로
13301정성태3/29/20233525Windows: 239. C/C++ - Windows 10 Version 1607부터 지원하는 /DEPENDENTLOADFLAG 옵션파일 다운로드1
13300정성태3/28/20233229Windows: 238. Win32 - Modal UI 창에 올바른 Owner(HWND)를 설정해야 하는 이유
13299정성태3/27/20233018Windows: 237. Win32 - 모든 메시지 루프를 탈출하는 WM_QUIT 메시지
13298정성태3/27/20232930Windows: 236. Win32 - MessageBeep 소리가 안 들린다면?
13297정성태3/26/20233537Windows: 235. Win32 - Code Modal과 UI Modal
13296정성태3/25/20232942Windows: 234. IsDialogMessage와 협업하는 WM_GETDLGCODE Win32 메시지 [1]파일 다운로드1
13295정성태3/24/20233158Windows: 233. Win32 - modeless 대화창을 modal처럼 동작하게 만드는 방법파일 다운로드1
13294정성태3/22/20233373.NET Framework: 2105. LargeAddressAware 옵션이 적용된 닷넷 32비트 프로세스의 가용 메모리 - 두 번째
13293정성태3/22/20233499오류 유형: 853. dumpbin - warning LNK4048: Invalid format file; ignored
13292정성태3/21/20233435Windows: 232. C/C++ - 일반 창에도 사용 가능한 IsDialogMessage파일 다운로드1
13291정성태3/20/20233923.NET Framework: 2104. C# Windows Forms - WndProc 재정의와 IMessageFilter 사용 시의 차이점
13290정성태3/19/20233457.NET Framework: 2103. C# - 윈도우에서 기본 제공하는 FindText 대화창 사용법파일 다운로드1
13289정성태3/18/20232746Windows: 231. Win32 - 대화창 템플릿의 2진 리소스를 읽어들여 자식 윈도우를 생성하는 방법파일 다운로드1
13288정성태3/17/20232830Windows: 230. Win32 - 대화창의 DLU 단위를 pixel로 변경하는 방법파일 다운로드1
13287정성태3/16/20232995Windows: 229. Win32 - 대화창 템플릿의 2진 리소스를 읽어들여 윈도우를 직접 띄우는 방법파일 다운로드1
1  2  3  4  5  6  7  8  9  10  [11]  12  13  14  15  ...