Microsoft MVP성태의 닷넷 이야기
글쓴 사람
정성태 (techsharer at outlook.com)
홈페이지
첨부 파일

(시리즈 글이 6개 있습니다.)
VC++: 64. x64 Visual C++에서 TEB 주소 구하는 방법
; https://www.sysnet.pe.kr/2/0/1387

.NET Framework: 348. .NET x64 응용 프로그램에서 Teb 주소를 구하는 방법
; https://www.sysnet.pe.kr/2/0/1388

.NET Framework: 349. .NET Thread 인스턴스로부터 COM Apartment 유형 확인하는 방법
; https://www.sysnet.pe.kr/2/0/1389

VC++: 91. 자식 스레드에 자동 상속되는 TEB의 SubProcessTag 필드
; https://www.sysnet.pe.kr/2/0/10797

디버깅 기술: 150. windbg - Wow64, x86, x64에서의 커널 구조체(예: TEB) 구조체 확인
; https://www.sysnet.pe.kr/2/0/12097

디버깅 기술: 205. Windbg - KPCR, KPRCB
; https://www.sysnet.pe.kr/2/0/13842




.NET Thread 인스턴스로부터 COM Apartment 유형 확인하는 방법


예전의 글에서는 x86 프로세스에 대해서 살펴보았는데요.

windbg - .NET Framework 스레드 개체의 COM Apartment 유형 확인하는 방법
; https://www.sysnet.pe.kr/2/0/1351

이번에 x64 프로세스에 대해서도 동일한 작업을 했는데, 이에 대한 기록을 남겨 봅니다.

지난 번에는 "attach to process"로 디버거 연결을 했지만, 이번에는 작업 관리자에서 프로세스 덤프를 뜬 파일을 windbg로 열어서 작업해 봤는데, 활성 프로세스는 아니었지만 결과가 정상적으로 출력되었습니다.




0:024> !teb
TEB at 000007ffffebe000
    ExceptionList:        0000000000000000
    StackBase:            0000000007aa0000
    StackLimit:           0000000007a8f000
    SubSystemTib:         0000000000000000
    FiberData:            0000000000001e00
    ArbitraryUserPointer: 0000000000000000
    Self:                 000007ffffebe000
    EnvironmentPointer:   0000000000000000
    ClientId:             0000000000001934 . 00000000000005fc
    RpcHandle:            0000000000000000
    Tls Storage:          000007ffffebe058
    PEB Address:          000007fffffdf000
    LastErrorValue:       0
    LastStatusValue:      0
    Count Owned Locks:    0
    HardErrorMode:        0

0:024> dt _TEB 000007ffffebe000
ntdll!_TEB
   +0x000 NtTib            : _NT_TIB
   +0x038 EnvironmentPointer : (null) 
   ...[생략]...
   +0x1750 ReservedForPerf  : (null) 
   +0x1758 ReservedForOle   : 0x00000000`026dea90 Void
   +0x1760 WaitingOnLoaderLock : 0
   ...[생략]...
   +0x1810 ResourceRetValue : 0x00000000`06c38ca0 Void

0:024> dt  ole32!SOleTlsData 0x00000000`026dea90
   +0x000 pvThreadBase     : (null) 
   ...[생략]...
   +0x078 ContextId        : 0xe
   +0x080 pNativeApt       : 0x00000000`026e6b00 CComApartment
   +0x088 pCallContext     : (null) 
   +0x090 pCtxCall         : (null) 
   ...[생략]...
   +0x1b8 outgoingActivationData : tagOutgoingActivationData
   +0x1c8 cReentrancyFromUserAPC : 0

0:024> dt CComApartment 0x00000000`026e6b00
ole32!CComApartment
   +0x000 __VFN_table : 0x000007fe`fe3466f8 
   +0x008 _cRefs           : 3
   +0x00c _dwState         : 3
   +0x010 _AptKind         : 4 ( APTKIND_APARTMENTTHREADED )
   +0x014 _AptId           : 0x5fc
   +0x018 _pOXIDEntry      : 0x00000000`04d5f9c8 OXIDEntry
   +0x020 _pRemUnk         : 0x00000000`06fbead0 CRemoteUnknown
   +0x028 _cWaiters        : 0n0
   +0x030 _hEventOID       : (null) 
   +0x038 _cPreRegOidsAvail : 0
   +0x040 _arPreRegOids    : [20] 0xfebf9af3`eb76af7f
   +0x0e0 _cOidsReturn     : 0
   +0x0e8 _arOidsReturn    : [20] 0x00630069`004d005c
   +0x188 _arMessageParams : [8] CComApartment::MessageListHead
   +0x208 _fInitializedCS  : 0n1
   +0x210 _csMessageParams : _RTL_CRITICAL_SECTION

_AptKind 필드의 값이 4인 것으로 해당 스레드는 APARTMENT_THREADED 임을 알 수 있습니다.




닷넷 코드로 이를 확인해 보려면 다음의 TEB 구하는 코드를 참조해서,

.NET x64 응용 프로그램에서 Teb 주소를 구하는 방법
; https://www.sysnet.pe.kr/2/0/1388

이렇게 만들 수 있습니다.

IntPtr reservedForOle = new IntPtr(teb.ToInt64() + 0x1758);
long ReservedForOle = Marshal.ReadInt64(reservedForOle); // TEB.ReservedForOle
Console.WriteLine("TEB.ReservedForOle: " + ReservedForOle.ToString("x"));
Console.WriteLine("dt ole32!SOleTlsData " + ReservedForOle.ToString("x"));

IntPtr pNativeApt = new IntPtr(ReservedForOle + 0x80);
long NativeApt = Marshal.ReadInt64(pNativeApt); // SOleTlsData.pNativeApt
Console.WriteLine("SOleTlsData.pNativeApt: " + NativeApt.ToString("x"));
Console.WriteLine("dt CComApartment " + NativeApt.ToString("x"));

IntPtr pAptKind = new IntPtr(NativeApt + 0x10);
int AptKind = Marshal.ReadInt32(pAptKind); // CComApartment._AptKind
Console.WriteLine("CComApartment._AptKind: " + AptKind.ToString("x"));

첨부한 파일은 ".NET x64 응용 프로그램에서 Teb 주소를 구하는 방법" 예제에 위의 코드를 추가한 것입니다.




[이 글에 대해서 여러분들과 의견을 공유하고 싶습니다. 틀리거나 미흡한 부분 또는 의문 사항이 있으시면 언제든 댓글 남겨주십시오.]







[최초 등록일: ]
[최종 수정일: 6/27/2021]

Creative Commons License
이 저작물은 크리에이티브 커먼즈 코리아 저작자표시-비영리-변경금지 2.0 대한민국 라이센스에 따라 이용하실 수 있습니다.
by SeongTae Jeong, mailto:techsharer at outlook.com

비밀번호

댓글 작성자
 




1  2  3  4  5  [6]  7  8  9  10  11  12  13  14  15  ...
NoWriterDateCnt.TitleFile(s)
13837정성태12/3/20247272디버깅 기술: 204. Windbg - 윈도우 핸들 테이블 (3) - Windows 10 이상인 경우
13836정성태12/3/20245632디버깅 기술: 203. Windbg - x64 가상 주소를 물리 주소로 변환 (페이지 크기가 2MB인 경우)
13835정성태12/2/20247235오류 유형: 934. Azure - rm: cannot remove '...': Directory not empty
13834정성태11/29/20247296Windows: 275. C# - CUI 애플리케이션과 Console 윈도우 (Windows 10 미만의 Classic Console 모드인 경우) [1]파일 다운로드1
13833정성태11/29/20246610개발 환경 구성: 737. Azure Web App에서 Scale-out으로 늘어난 리눅스 인스턴스에 SSH 접속하는 방법
13832정성태11/27/20246267Windows: 274. Windows 7부터 도입한 conhost.exe
13831정성태11/27/20245398Linux: 111. eBPF - BPF_MAP_TYPE_PERF_EVENT_ARRAY, BPF_MAP_TYPE_RINGBUF에 대한 다양한 용어들
13830정성태11/25/20247267개발 환경 구성: 736. 파이썬 웹 앱을 Azure App Service에 배포하기
13829정성태11/25/20247303스크립트: 67. 파이썬 - Windows 버전에서 함께 설치되는 py.exe
13828정성태11/25/20245650개발 환경 구성: 735. Azure - 압축 파일을 이용한 web app 배포 시 디렉터리 구분이 안 되는 문제파일 다운로드1
13827정성태11/25/20246571Windows: 273. Windows 환경의 파일 압축 방법 (tar, Compress-Archive)
13826정성태11/21/20246914닷넷: 2313. C# - (비밀번호 등의) Console로부터 입력받을 때 문자열 출력 숨기기(echo 끄기)파일 다운로드1
13825정성태11/21/20247861Linux: 110. eBPF / bpf2go - BPF_RINGBUF_OUTPUT / BPF_MAP_TYPE_RINGBUF 사용법
13824정성태11/20/20245734Linux: 109. eBPF / bpf2go - BPF_PERF_OUTPUT / BPF_MAP_TYPE_PERF_EVENT_ARRAY 사용법
13823정성태11/20/20247347개발 환경 구성: 734. Ubuntu에 docker, kubernetes (k3s) 설치
13822정성태11/20/20247345개발 환경 구성: 733. Windbg - VirtualBox VM의 커널 디버거 연결 시 COM 포트가 없는 경우
13821정성태11/18/20246760Linux: 108. Linux와 Windows의 프로세스/스레드 ID 관리 방식
13820정성태11/18/20247488VS.NET IDE: 195. Visual C++ - C# 프로젝트처럼 CopyToOutputDirectory 항목을 추가하는 방법
13819정성태11/15/20245470Linux: 107. eBPF - libbpf CO-RE의 CONFIG_DEBUG_INFO_BTF 빌드 여부에 대한 의존성
13818정성태11/15/20247396Windows: 272. Windows 11 24H2 - sudo 추가
13817정성태11/14/20246319Linux: 106. eBPF / bpf2go - (BPF_MAP_TYPE_HASH) Map을 이용한 전역 변수 구현
13816정성태11/14/20247503닷넷: 2312. C#, C++ - Windows / Linux 환경의 Thread Name 설정파일 다운로드1
13815정성태11/13/20245916Linux: 105. eBPF - bpf2go에서 전역 변수 설정 방법
13814정성태11/13/20246654닷넷: 2311. C# - Windows / Linux 환경에서 Native Thread ID 가져오기파일 다운로드1
13813정성태11/12/20247324닷넷: 2310. .NET의 Rune 타입과 emoji 표현파일 다운로드1
13812정성태11/11/202410988오류 유형: 933. Active Directory - The forest functional level is not supported.
1  2  3  4  5  [6]  7  8  9  10  11  12  13  14  15  ...