Microsoft MVP성태의 닷넷 이야기
글쓴 사람
정성태 (seongtaejeong at gmail.com)
홈페이지
첨부 파일
 

(시리즈 글이 5개 있습니다.)
디버깅 기술: 28. Windbg - 윈도우 핸들 테이블
; https://www.sysnet.pe.kr/2/0/935

디버깅 기술: 55. Windbg - 윈도우 핸들 테이블 (2)
; https://www.sysnet.pe.kr/2/0/1476

디버깅 기술: 151. Windows 10 - Process Explorer로 확인한 Handle 정보를 windbg에서 조회
; https://www.sysnet.pe.kr/2/0/12099

디버깅 기술: 168. windbg - 필터 드라이버 확인하는 확장 명령어(!fltkd)
; https://www.sysnet.pe.kr/2/0/12283

디버깅 기술: 204. Windbg - 윈도우 핸들 테이블 (3) - Windows 10 이상인 경우
; https://www.sysnet.pe.kr/2/0/13837




Windbg - 윈도우 핸들 테이블 (3) - Windows 10 이상인 경우

예전에는,

Windbg - 윈도우 핸들 테이블
; https://www.sysnet.pe.kr/2/0/935

Handle 테이블의 주소와, 그로부터 Handle 정보를 windbg를 통해 알아내는 것이 가능했는데요, 어느 순간 Handle 테이블에 있는 값의 Object Address 주소가 인코딩되기 시작해,

Windbg - 윈도우 핸들 테이블 (2)
; https://www.sysnet.pe.kr/2/0/1476

보이지 않게 되다가, (정확히 어떤 버전인지는 알 수 없으나, 적어도) Windows 10 22H2 이상부터는 Handle 테이블의 주소도 모호해졌습니다. 다시 한번 정리하는 의미로 한번 알아볼까요? ^^




자, 우선 원하는 프로세스를 하나 선정하고,

// Windows 10 x64 (10.0.19045)에서 Local Kernel Debug로 실행 + notepad.exe 하나 띄워 놓고!

lkd> !process 0 0 notepad.exe
PROCESS ffffd282e5c43080
    SessionId: 2  Cid: 1c60    Peb: b36d554000  ParentCid: 1438
    DirBase: 159851000  ObjectTable: ffffe00425998040  HandleCount: 255.
    Image: notepad.exe

결과에 나온 ObjectTable 주소를 덤프해 보면,

lkd> dt _HANDLE_TABLE ffffe00425998040
nt!_HANDLE_TABLE
   +0x000 NextHandleNeedingPool : 0x800
   +0x004 ExtraInfoPages   : 0n0
   +0x008 TableCode        : 0xffffe004`24cf9001
   +0x010 QuotaProcess     : 0xffffd282`e5c43080 _EPROCESS
   +0x018 HandleTableList  : _LIST_ENTRY [ 0xffffe004`23876318 - 0xffffe004`275b52d8 ]
   +0x028 UniqueProcessId  : 0x1c60
   +0x02c Flags            : 0
   +0x02c StrictFIFO       : 0y0
   +0x02c EnableHandleExceptions : 0y0
   +0x02c Rundown          : 0y0
   +0x02c Duplicated       : 0y0
   +0x02c RaiseUMExceptionOnInvalidHandleClose : 0y0
   +0x030 HandleContentionEvent : _EX_PUSH_LOCK
   +0x038 HandleTableLock  : _EX_PUSH_LOCK
   +0x040 FreeLists        : [1] _HANDLE_TABLE_FREE_LIST
   +0x040 ActualEntry      : [32]  ""
   +0x060 DebugInfo        : (null) 

원래는 TableCode의 주소가 Handle 테이블의 주소였는데, 뭔가 값이 이상합니다. 눈치채셨나요? ^^ 끝에 1이 붙어 있는 것인데요, 일반적인 정렬로 볼 수 없습니다.

그런데, 왠지 ^^ 저건 뭔가 offset은 아니고 flag 비슷한 값으로 쓰이는 듯하다는 느낌이 듭니다. 따라서 그냥 1을 절삭해 출력해 보면,

lkd> dq 0xffffe004`24cf9000 L4
ffffe004`24cf9000  ffffe004`253ff000 ffffe004`201ff000
ffffe004`24cf9010  00000000`00000000 00000000`00000000

만약 저게 Handle 테이블이었다면 첫 번째 16바이트가 0으로 채워졌어야만 하는데 예상치 않게 저런 값이 나왔습니다. 그렇다면 혹시 ffffe004`253ff000 값이 Handle 테이블이 아닐까요? ^^

lkd> dq ffffe004`253ff000
ffffe004`253ff000  00000000`00000000 00000000`00000000
ffffe004`253ff010  d282e5f8`0630fffb 00000000`001f0003
ffffe004`253ff020  d282e5f8`07b0fff9 00000000`001f0003
ffffe004`253ff030  d282e51a`d440fffb 00000000`00000001
ffffe004`253ff040  d282e620`b890ffd9 00000000`001f0003
ffffe004`253ff050  d282e4c6`8530ff8f 00000000`000f00ff
ffffe004`253ff060  d282e62e`01a0fffb 00000000`00100002
ffffe004`253ff070  d282e51a`e210fffb 00000000`00000001

오호~~~ 첫 번째 16바이트가 0이므로, 왠지 이번에는 제대로 들어온 것 같습니다. 그렇다면 저게 정말 올바른 핸들 테이블인지 비교를 위해 "Process Explorer"를 실행해 저 notepad.exe의 Handle을 조회했더니 다음과 같은 값이 나옵니다.

Handle     Object Address     Access
0x00000034 0xFFFFE00418928B00 0x00000003
0x00000040 0xFFFFD282E6273AF0 0x00100020
...[생략]...

보는 바와 같이 0x34, 0x40에 해당하는 Handle의 Access 정보가 나오는데요, 이것을 windbg에서 조회해 보면,

lkd> dq ffffe004`253ff000 + (0x34 / 4 * 0x10) L2
ffffe004`253ff0d0  e0041892`8ad0ffa3 00000000`00000003

lkd> dq ffffe004`253ff000 + (0x40 / 4 * 0x10) L2
ffffe004`253ff100  d282e627`3ac0fffb 00000000`00100020

정확히 일치합니다. ^^ 물론 우연일 수 있지만 다른 것들을 조회해 봐도 일치하는 것으로 봐서 일단 Handle 테이블의 위치는 저런 식으로 (현재는) 구할 수 있습니다.




물론 여전히 Object Address의 값은 인코딩돼 있어 구할 수 없습니다. 가령 Process Explorer에서 0x34 핸들의 주소가 0xFFFFE00418928B00인데, windbg의 출력은 e0041892`8ad0ffa3으로 나옵니다.

대신, 그냥 !handle 명령어를 사용해 구하는 것이 현재로서는 가장 편리할 것 같습니다. ^^

// _EPROCESS == ffffca88d229e080인 프로세스의 0x34 핸들을 조회

lkd> !handle 0x34 1 ffffca88d229e080

// 또는 현재 문맥이 동일하다면 _EPROCESS 생략 가능 
// .process /p ffffca88d229e080
// 로컬 커널 디버깅이 아닌 라이브 디버깅이라면 .process /i ffffca88d229e080

PROCESS ffffca88d229e080
    SessionId: 2  Cid: 1c30    Peb: e16ccdf000  ParentCid: 1438
    DirBase: 5e25f000  ObjectTable: ffffe004275b52c0  HandleCount: 290.
    Image: windbg.exe

Handle table at ffffe004275b52c0 with 290 entries in use

0034: Object: ffffe00418928b00  GrantedAccess: 00000003 (Protected) (Audit)

보는 바와 같이 Process Explorer의 값과 정확히 일치합니다.




[이 글에 대해서 여러분들과 의견을 공유하고 싶습니다. 틀리거나 미흡한 부분 또는 의문 사항이 있으시면 언제든 댓글 남겨주십시오.]







[최초 등록일: ]
[최종 수정일: 12/3/2024]

Creative Commons License
이 저작물은 크리에이티브 커먼즈 코리아 저작자표시-비영리-변경금지 2.0 대한민국 라이센스에 따라 이용하실 수 있습니다.
by SeongTae Jeong, mailto:techsharer at outlook.com

비밀번호

댓글 작성자
 




... 151  152  153  154  155  156  157  158  159  160  161  162  [163]  164  165  ...
NoWriterDateCnt.TitleFile(s)
972정성태1/7/201124130개발 환경 구성: 95. SQL Server 2008 R2 이하 버전 정보 확인
971정성태1/5/201133716.NET Framework: 199. .NET 코드 - Named Pipe 닷넷 서버와 VC++ 클라이언트 제작 [2]파일 다운로드1
970정성태1/4/201134244.NET Framework: 198. 윈도우 응용 프로그램에 Facebook 로그인 연동 [1]파일 다운로드1
969정성태12/31/201040352VC++: 45. Winsock 2 Layered Service Provider - Visual Studio 2010용 프로젝트 [1]파일 다운로드1
968정성태12/30/201026602개발 환경 구성: 94. 개발자가 선택할 수 있는 윈도우에서의 네트워크 프로그래밍 기술 [2]
967정성태12/27/201028389.NET Framework: 197. .NET 코드 - 단일 Process 실행파일 다운로드1
966정성태12/26/201026351.NET Framework: 196. .NET 코드 - 창 흔드는 효과파일 다운로드1
965정성태12/25/201027840개발 환경 구성: 93. MSBuild를 이용한 닷넷 응용프로그램의 다중 어셈블리 출력 빌드파일 다운로드1
964정성태12/21/2010143003개발 환경 구성: 92. 윈도우 서버 환경에서, 최대 생성 가능한 소켓(socket) 연결 수는 얼마일까? [14]
963정성태12/13/201027876개발 환경 구성: 91. MSBuild를 이용한 닷넷 응용프로그램의 플랫폼(x86/x64)별 빌드 [2]파일 다운로드1
962정성태12/10/201022757오류 유형: 110. GAC 등록 - Failure adding assembly to the cache: Invalid file or assembly name.
961정성태12/10/201099797개발 환경 구성: 90. 닷넷에서 접근해보는 PostgreSQL DB [5]
960정성태12/8/201045080.NET Framework: 195. .NET에서 코어(Core) 관련 CPU 정보 알아내는 방법파일 다운로드1
959정성태12/8/201031910.NET Framework: 194. Facebook 연동 - API Error Description: Invalid OAuth 2.0 Access Token
958정성태12/7/201028913개발 환경 구성: 89. 배치(batch) 파일에서 또 다른 배치 파일을 동기 방식으로 실행 및 반환값 얻기 [2]
957정성태12/6/201031643디버깅 기술: 31. Windbg - Visual Studio 디버그 상태에서 종료해 버리는 응용 프로그램 [3]
953정성태11/28/201036869.NET Framework: 193. 페이스북(Facebook) 계정으로 로그인하는 C# 웹 사이트 제작 [5]
952정성태11/25/201025319.NET Framework: 192. GC의 부하는 상대적인 것! [4]
950정성태11/18/201076676.NET Framework: 191. ClickOnce - 관리자 권한 상승하는 방법 [17]파일 다운로드2
954정성태11/29/201048674    답변글 .NET Framework: 191.1. [답변] 클릭원스 - 요청한 작업을 수행하려면 권한 상승이 필요합니다. (Exception from HRESULT: 0x800702E4) [2]
949정성태11/16/201027223오류 유형: 109. System.ServiceModel.Security.SecurityNegotiationException
948정성태11/16/201036018.NET Framework: 190. 트위터 계정으로 로그인하는 C# 웹 사이트 제작 [7]파일 다운로드1
947정성태11/14/201041667.NET Framework: 189. Mono Cecil로 만들어 보는 .NET Decompiler [1]파일 다운로드1
946정성태11/11/201041502.NET Framework: 188. .NET 64비트 응용 프로그램에서 왜 (2GB) OutOfMemoryException 예외가 발생할까? [1]파일 다운로드1
945정성태11/11/201025035VC++: 44. C++/CLI 컴파일 오류 - error C4368: mixed types are not supported
944정성태11/11/201031515VC++: 43. C++/CLI 컴파일 오류 - error C2872: 'IServiceProvider' : ambiguous symbol could be ...
... 151  152  153  154  155  156  157  158  159  160  161  162  [163]  164  165  ...