Microsoft MVP성태의 닷넷 이야기
글쓴 사람
정성태 (seongtaejeong at gmail.com)
홈페이지
첨부 파일
 

(시리즈 글이 4개 있습니다.)
.NET Framework: 872. C# - 로딩된 Native DLL의 export 함수 목록 출력
; https://www.sysnet.pe.kr/2/0/12093

디버깅 기술: 197. Windbg - PE 포맷의 Export Directory 탐색
; https://www.sysnet.pe.kr/2/0/13689

디버깅 기술: 199. Windbg - 리눅스에서 뜬 닷넷 응용 프로그램 덤프 파일에 포함된 DLL의 Export Directory 탐색
; https://www.sysnet.pe.kr/2/0/13692

디버깅 기술: 200. DLL Export/Import의 Hint 의미
; https://www.sysnet.pe.kr/2/0/13700




Windbg - 리눅스에서 뜬 닷넷 응용 프로그램 덤프 파일에 포함된 DLL의 Export Directory 탐색

리눅스에서 실행한 닷넷 응용 프로그램을 "dotnet-dump"로 덤프를 뜰 수 있는데요, 재미있게도 해당 덤프 파일을 Windbg에서도 그대로 열어 분석할 수 있습니다.

예를 들어, lm 명령을 내리면 이렇게 로딩된 PE 목록이 나오는데요,

0:000> lm
start             end                 module name
000055c1`e5672000 000055c1`e5696000   dotnet     (deferred)             
00007f34`35a30000 00007f34`36338400   System_Private_CoreLib   (deferred)      
...[생략]...

아쉬운 것은, 윈도우와는 달리 dt 명령어들이 동작하지 않지만,

0:000> dt -n _IMAGE_DOS_HEADER
...[생략]...
Symbol _IMAGE_DOS_HEADER not found.

그래도 PE(Portable Executable) 구조를 따라 닷넷 DLL들이 만들어지기 때문에 기존 지식을 활용해 분석할 수는 있습니다.

게다가 windbg의 명령어들은 여전히 동작하는데요, 다행히 그중 dh도 있습니다.

0:000> !dh 00007f34`35a30000 -f

File Type: DLL
FILE HEADER VALUES
    FD1D machine (Unknown)
       3 number of sections
99DB2862 time date stamp Thu Oct 19 06:19:30 2051

       0 file pointer to symbol table
       0 number of symbols
      F0 size of optional header
    2022 characteristics
            Executable
            App can handle >2gb addresses
            DLL

OPTIONAL HEADER VALUES
     20B magic #
   11.00 linker version
       0 size of code
       0 size of initialized data
       0 size of uninitialized data
       0 address of entry point
       0 base of code
         ----- new -----
0000000005000000 image base
     200 section alignment
     200 file alignment
       3 subsystem (Windows CUI)
    5.02 operating system version
    0.00 image version
    5.02 subsystem version
  908400 size of image
     200 size of headers
       0 checksum
0000000000400000 size of stack reserve
0000000000004000 size of stack commit
0000000000000000 size of heap reserve
0000000000000000 size of heap commit
    8160  DLL characteristics
            High entropy VA supported
            Dynamic base
            NX compatible
            Terminal server aware
  8F1D5C [      43] address [size] of Export Directory
       0 [       0] address [size] of Import Directory
   42800 [     494] address [size] of Resource Directory
   4301C [   59124] address [size] of Exception Directory
       0 [       0] address [size] of Security Directory
  901E00 [    6514] address [size] of Base Relocation Directory
  8F1894 [      38] address [size] of Debug Directory
       0 [       0] address [size] of Description Directory
       0 [       0] address [size] of Special Directory
       0 [       0] address [size] of Thread Storage Directory
       0 [       0] address [size] of Load Configuration Directory
       0 [       0] address [size] of Bound Import Directory
       0 [       0] address [size] of Import Address Table Directory
       0 [       0] address [size] of Delay Import Directory
   42CA0 [      48] address [size] of COR20 Header Directory
       0 [       0] address [size] of Reserved Directory

Export DataDirectory의 VirtualAddress == 8F1D5C, Size == 43인데 이를 이용해 IMAGE_EXPORT_DIRECTORY를 덤프해 보면,

0:000> dd 00007f34`35a30000+8F1D5C LA
00007f34`36321d5c  00000000 00000000 00000000 008f1d84
00007f34`36321d6c  00000000 00000000 00000000 00000000
00007f34`36321d7c  00000000 00000000

[StructLayout(LayoutKind.Sequential)]
public struct IMAGE_EXPORT_DIRECTORY
{
    public uint Characteristics; // 00000000
    public uint TimeDateStamp;   // 00000000
    public short MajorVersion;   // 0000
    public short MinorVersion;   // 0000
    public uint Name;            // 008f1d84
    public uint Base;            // 00000000
    public uint NumberOfFunctions;     // 00000000
    public uint NumberOfNames;         // 00000000
    public uint AddressOfFunctions;    // 00000000
    public uint AddressOfNames;        // 00000000
    public uint AddressOfNameOrdinals; // 00000000
}

보는 바와 같이 DLL의 이름을 가리키는 Name 필드를 제외하고는 설정된 것이 없습니다.

0:000> da 00007f34`35a30000+008f1d84
00007f34`36321d84  "System.Private.CoreLib.dll"

또한, 이전과 달리 Export DataDirectory의 크기가 별도 여분의 공간을 차지하지 않고 정확히 저 DLL 이름까지만 포함하고 있습니다.

0:000> db 00007f34`35a30000+8F1D5C L43
00007f34`36321d5c  00 00 00 00 00 00 00 00-00 00 00 00 84 1d 8f 00  ................
00007f34`36321d6c  00 00 00 00 00 00 00 00-00 00 00 00 00 00 00 00  ................
00007f34`36321d7c  00 00 00 00 00 00 00 00-53 79 73 74 65 6d 2e 50  ........System.P
00007f34`36321d8c  72 69 76 61 74 65 2e 43-6f 72 65 4c 69 62 2e 64  rivate.CoreLib.d
00007f34`36321d9c  6c 6c 00      

그래서, 거창한 제목과는 달리 ^^ 딱히 Export Data Directory에 대해 탐색할 것이 없습니다.

암튼, .NET DLL이 PE 포맷을 따르는 덕분에 Windbg로 기존 지식을 활용해 분석할 수 있어서 디버깅도 한결 쉽게 되었습니다. ^^




[이 글에 대해서 여러분들과 의견을 공유하고 싶습니다. 틀리거나 미흡한 부분 또는 의문 사항이 있으시면 언제든 댓글 남겨주십시오.]







[최초 등록일: ]
[최종 수정일: 7/24/2024]

Creative Commons License
이 저작물은 크리에이티브 커먼즈 코리아 저작자표시-비영리-변경금지 2.0 대한민국 라이센스에 따라 이용하실 수 있습니다.
by SeongTae Jeong, mailto:techsharer at outlook.com

비밀번호

댓글 작성자
 




... [31]  32  33  34  35  36  37  38  39  40  41  42  43  44  45  ...
NoWriterDateCnt.TitleFile(s)
13197정성태12/17/202213532.NET Framework: 2079. .NET Core/5+ 환경에서 XmlSerializer 사용 시 System.IO.FileNotFoundException 예외 발생하는 경우파일 다운로드1
13196정성태12/16/202214232.NET Framework: 2078. .NET Core/5+를 위한 SGen(Microsoft.XmlSerializer.Generator) 사용법
13195정성태12/15/202214484개발 환경 구성: 655. docker - bridge 네트워크 모드에서 컨테이너 간 통신 시 --link 옵션 권장 이유
13194정성태12/14/202214285오류 유형: 833. warning C4747: Calling managed 'DllMain': Managed code may not be run under loader lock파일 다운로드1
13193정성태12/14/202214816오류 유형: 832. error C7681: two-phase name lookup is not supported for C++/CLI or C++/CX; use /Zc:twoPhase-
13192정성태12/13/202214787Linux: 55. 리눅스 - bash shell에서 실수 연산
13191정성태12/11/202216385.NET Framework: 2077. C# - 직접 만들어 보는 SynchronizationContext파일 다운로드1
13190정성태12/9/202218412.NET Framework: 2076. C# - SynchronizationContext 기본 사용법파일 다운로드1
13189정성태12/9/202217816오류 유형: 831. Visual Studio - Windows Forms 디자이너의 도구 상자에 컨트롤이 보이지 않는 문제
13188정성태12/9/202217238.NET Framework: 2075. C# - 직접 만들어 보는 TaskScheduler 실습 (SingleThreadTaskScheduler) [1]파일 다운로드1
13187정성태12/8/202216722개발 환경 구성: 654. openssl - CA로부터 인증받은 새로운 인증서를 생성하는 방법 (2)
13186정성태12/6/202214602오류 유형: 831. The framework 'Microsoft.AspNetCore.App', version '...' was not found.
13185정성태12/6/202215575개발 환경 구성: 653. Windows 환경에서의 Hello World x64 어셈블리 예제 (NASM 버전)
13184정성태12/5/202213442개발 환경 구성: 652. ml64.exe와 link.exe x64 실행 환경 구성 [1]
13183정성태12/4/202213309오류 유형: 830. MASM + CRT 함수를 사용하는 경우 발생하는 컴파일 오류 정리 [1]
13182정성태12/4/202215187Windows: 217. Windows 환경에서의 Hello World x64 어셈블리 예제 (MASM 버전)
13181정성태12/3/202213919Linux: 54. 리눅스/WSL - hello world 어셈블리 코드 x86/x64 (nasm)
13180정성태12/2/202215182.NET Framework: 2074. C# - 스택 메모리에 대한 여유 공간 확인하는 방법파일 다운로드1
13179정성태12/2/202213712Windows: 216. Windows 11 - 22H2 업데이트 이후 Terminal 대신 cmd 창이 뜨는 경우
13178정성태12/1/202214832Windows: 215. Win32 API 금지된 함수 - IsBadXxxPtr 유의 함수들이 안전하지 않은 이유파일 다운로드1
13177정성태11/30/202215420오류 유형: 829. uwsgi 설치 시 fatal error: Python.h: No such file or directory
13176정성태11/29/202212207오류 유형: 828. gunicorn - ModuleNotFoundError: No module named 'flask'
13175정성태11/29/202216837오류 유형: 827. Python - ImportError: cannot import name 'html5lib' from 'pip._vendor'
13174정성태11/28/202213330.NET Framework: 2073. C# - VMMap처럼 스택 메모리의 reserve/guard/commit 상태 출력파일 다운로드1
13173정성태11/27/202214360.NET Framework: 2072. 닷넷 응용 프로그램의 스레드 스택 크기 변경
13172정성태11/25/202214055.NET Framework: 2071. 닷넷에서 ESP/RSP 레지스터 값을 구하는 방법파일 다운로드1
... [31]  32  33  34  35  36  37  38  39  40  41  42  43  44  45  ...