Microsoft MVP성태의 닷넷 이야기
글쓴 사람
정성태 (techsharer at outlook.com)
홈페이지
첨부 파일
실행 시에 메서드 가로채기 - CLR Injection: Runtime Method Replacer 개선

회사 업무랑 관계가 있다 보니, "가로채기" 기술에 대해서는 늘 관심이 있습니다. 비록, 몇 가지 제약으로 인해 채택할 수는 없었지만 기술 검토 과정 중에 알게 된 재미있는 글을 하나 소개해 드립니다.

CLR Injection: Runtime Method Replacer
; http://www.codeproject.com/KB/dotnet/CLRMethodInjection.aspx

그나 저나, "가로 채기" 기술은 개발자라면 누구나 다 관심있는 것 같습니다. 커널 드라이버도 그렇고, 일반 사용자 모드 응용 프로그램도 마찬가지죠. 심지어 "버퍼 오버런"도 일종의 가로채기 기술이니. ^^;

이번 글의 주제인 "CLR Injection: Runtime Method Replacer" 를 실행해 보신 분은 아시겠지만, 크게 2가지 오류가 있습니다.

  • 현재의 .NET 3.5 x64 에서 DynamicMethod 치환 오류
  • .NET 4.0 에서 DynamicMethod 치환 오류

저는 위의 2가지 문제를 개선한 코드를 알아볼텐데요. 사실, 이전에 써놓은 아래의 2가지 글은 이 문제를 해결하기 위해 windbg를 사용하면서 정리가 된 것들입니다. 시간이 허락된다면, 아래의 2가지 글을 가볍게 읽고 시작하는 것도 좋겠습니다. ^^

windbg 로 확인하는 .NET CLR 메서드 
; https://www.sysnet.pe.kr/2/0/940

windbg 로 확인하는 .NET CLR LCG 메서드(DynamicMethod) 
; https://www.sysnet.pe.kr/2/0/941




"CLR Injection: Runtime Method Replacer" 글이 씌여진 것은 2009년 6월인데 그 당시까지만 해도 정상작동했을지 모르지만, .NET 3.5 x64 및 .NET 4.0 에서는 더 이상 동작하지 않게 되어 버렸습니다.

그러하니, 문제가 되는 소스 코드들을 하나씩 살펴보겠습니다. ^^

private static IntPtr GetDynamicMethodAddress(MethodBase method)
{
    unsafe
    {
        RuntimeMethodHandle handle = GetDynamicMethodRuntimeHandle(method);
        byte* ptr = (byte*)handle.Value.ToPointer();
        if (...[.NET 2.0 SP2 이상]...)
        {
            RuntimeHelpers.PrepareMethod(handle);
            if (IntPtr.Size == 8)
            {
                // x64 오류
                ulong* address = (ulong*)ptr;
                address = (ulong*)*(address + 5);
                return new IntPtr(address + 12);
            }
            else
            {
                // x86 정상동작
                uint* address = (uint*)ptr;
                address = (uint*)*(address + 5);
                return new IntPtr(address + 12);
            }
        }
        else // .NET 2.0 SP2 
        {
        ...[생략]...                    
        }

    }
}

이런 ~~~ ^^ 불안정한 offset 값 조정이군요. 여기를 정리하기에 앞서 다시 내부에서 호출되는 GetDynamicMethodRuntimeHandle 메서드 먼저 살펴보겠습니다.

private static RuntimeMethodHandle GetDynamicMethodRuntimeHandle(MethodBase method)
{
    if (method is DynamicMethod)
    {
        FieldInfo fieldInfo = typeof(DynamicMethod).GetField("m_method",BindingFlags.NonPublic|BindingFlags.Instance);
        RuntimeMethodHandle handle = ((RuntimeMethodHandle)fieldInfo.GetValue(method));
                
        return handle;
    }
    return method.MethodHandle;
}

아하~~~ m_method 에서 구해내는 군요. 이전에 제가 썼던 글에서처럼 위의 코드는 .NET 4.0에서 더 이상 동작하지 않습니다. 그래서 다음과 같이 수정해 주어야 합니다.

private static RuntimeMethodHandle GetDynamicMethodRuntimeHandle(MethodBase method)
{
    RuntimeMethodHandle handle;

    if (Environment.Version.Major == 4)
    {
        MethodInfo getMethodDescriptorInfo = typeof(DynamicMethod).GetMethod("GetMethodDescriptor",
                BindingFlags.NonPublic | BindingFlags.Instance);
        handle = (RuntimeMethodHandle)getMethodDescriptorInfo.Invoke(method, null);
    }
    else
    {
        FieldInfo fieldInfo = typeof(DynamicMethod).GetField("m_method", BindingFlags.NonPublic | BindingFlags.Instance);
        handle = ((RuntimeMethodHandle)fieldInfo.GetValue(method));
    }
                
    return handle;
}

그럼 이제 다시 GetDynamicMethodAddress 의 옵셋 조정으로 돌아가서 살펴보겠습니다.

+5/+12의 옵셋 조정으로 구하는 값이 도대체 무엇인지 알아야겠습니다. 사실 지금까지 알아본 바에 의하면 이 값이 RuntimeMethodHandle.GetFunctionPointer() 가 반환하는 값일 거라는 것이 제 생각인데요. 맞는지 볼까요? .NET 3.5 x86 에서 정상동작을 했으니 환경설정을 그렇게 바꾸고 ReplaceMethod 의 최종 *d 값과 RuntimeMethodHandle.GetFunctionPointer() 반환값을 비교해 보면 될 것입니다.


public static void ReplaceMethod(IntPtr srcAdr, MethodBase dest)
{
    IntPtr destAdr = GetMethodAddress(dest);
    unsafe
    {
        if (IntPtr.Size == 8)
        {
            // x64...
        }
        else
        {
            uint* d = (uint*)destAdr.ToPointer();
            *d = *((uint*)srcAdr.ToPointer());
            Console.WriteLine("Pointer == " + (*d).ToString("x"));
        }
    }
}


private static IntPtr GetDynamicMethodAddress(MethodBase method)
{
    unsafe
    {
        RuntimeMethodHandle handle = GetDynamicMethodRuntimeHandle(method);
        byte* ptr = (byte*)handle.Value.ToPointer();

        if (IsNet20Sp2OrGreater())
        {
            RuntimeHelpers.PrepareMethod(handle);

            IntPtr pFunction = handle.GetFunctionPointer();
            Console.WriteLine("pFunction == " + pFunction.ToString("x"));

            ...[생략]...
        }
    }
}

출력 결과는 역시 동일합니다. ^^

pFunction == 4900a8
Pointer == 4900a8

그 외에도, windbg 로 연결해서 확인해 보면 결국 "!dumpmd [RuntimeMethodHandle 값]"의 "CodeAddr" 값과 일치한다는 것을 알 수 있습니다. 오호~~~ 여지없이 RuntimeMethodHandle.GetFunctionPointer 값으로도 대체된다는 것을 의미합니다.

따라서, 어렵게 옵셋 조정할 필요없이 다음과 같이 매우 안정적으로 메서드 호출 한번으로 끝낼 수 있습니다. (아마도, 이런 방식은 앞으로의 패치에 대해서도 좀더 안정적으로 동작할 수 있을 것입니다.)

private static IntPtr GetDynamicMethodAddress(MethodBase method)
{
    unsafe
    {
        RuntimeMethodHandle handle = GetDynamicMethodRuntimeHandle(method);
        byte* ptr = (byte*)handle.Value.ToPointer();
        if (IsNet20Sp2OrGreater())
        {
            RuntimeHelpers.PrepareMethod(handle);

            return handle.GetFunctionPointer();
            /* 이후 주석처리 된 코드는 더 이상 필요하지 않음.
            if (IntPtr.Size == 8)
            {
                ulong* address = (ulong*)ptr;
                address = (ulong*)*(address + 5);
                return new IntPtr(address + 12);
            }
            else
            {
                uint* address = (uint*)ptr;
                address = (uint*)*(address + 5);
                return new IntPtr(address + 12);
            }
            */
        }
        ... [생략]...

다음으로 변경해야 할 곳은, ReplaceMethod 에서 갈아치우려는 메서드가 DynamicMethod인 경우 GetFunctionPointer()로 구해진 값을 static 형 메서드와는 구분해서 다음과 같이 대입을 해줘야 합니다. (주의!!! 여기에서 일컫는 static 은 "DynamicMethod" 의 반대 의미로 사용된 것일 뿐 instance 메서드와 대비되는 static 메서드를 지칭하는 것이 아닙니다.)

public static void ReplaceMethod(IntPtr srcAdr, MethodBase dest, bool isDynamicSource)
{
    IntPtr destAdr = GetMethodAddress(dest);
    unsafe
    {
        if (IntPtr.Size == 8)
        {
            ulong* d = (ulong*)destAdr.ToPointer();

            if (isDynamicSource == true)
            {
                *d = (ulong)srcAdr.ToInt64();
            }
            else
            {
                *d = *((ulong*)srcAdr.ToPointer());
            }
        }
        else
        {
            uint* d = (uint*)destAdr.ToPointer();

            if (isDynamicSource == true)
            {
                *d = (uint)srcAdr.ToInt32();
            }
            else
            {
                *d = *((uint*)srcAdr.ToPointer());
            }        
        }
    }
}

마지막으로, 그다지 중요도는 없는 .NET 버전 체크 메서드인 IsNet20Sp2OrGreater에 다음과 같이 추가를 해줍니다.

private static bool IsNet20Sp2OrGreater()
{
    if (Environment.Version.Major == 4)
    {
        return true;
    }

    return Environment.Version.Major == FrameworkVersions.Net20SP2.Major &&
        Environment.Version.MinorRevision >= FrameworkVersions.Net20SP2.MinorRevision;
}

자, 여기까지 변경하고 .NET 3.5 x64 / .NET 4.0 에서 실행을 하면 정상적으로 정적 메서드의 주소를 동적으로 생성된 메서드의 주소로 치환해서 실행이 되는 것을 확인할 수 있습니다.

오~~~ 멋지죠? ^^

[그림 1: .NET 4.0 / .NET 3.5 x64 에서 실행]
replace_clr_method_1.png

첨부한 소스 코드는 위의 변경 사항이 반영되었습니다.

** 참고로, 원본 소스를 가능한 바꾸지 않으려고 해서 위와 같이 설명을 했는데, 원래는 2번째 첨부된 소스 코드로 변경되어야 하는 것이 맞습니다.



[이 토픽에 대해서 여러분들과 의견을 공유하고 싶습니다. 틀리거나 미흡한 부분 또는 의문 사항이 있으시면 언제든 댓글 남겨주십시오.]

[연관 글]


donaricano-btn



[최초 등록일: ]
[최종 수정일: 11/7/2010 ]

Creative Commons License
이 저작물은 크리에이티브 커먼즈 코리아 저작자표시-비영리-변경금지 2.0 대한민국 라이센스에 따라 이용하실 수 있습니다.
by SeongTae Jeong, mailto:techsharer at outlook.com

비밀번호

댓글 쓴 사람
 



2011-03-31 11시01분
MSIL Injection: Rewrite a non dynamic method at runtime
; http://blogs.msdn.com/b/zelmalki/archive/2009/03/29/msil-injection-rewrite-a-non-dynamic-method-at-runtime.aspx

위의 방법은, 일단 JIT 컴파일 된 이후에는 효력이 없다는 것!
정성태
2012-02-16 07시13분
[바람나그네] 아.. 감사합니다.
원글에서 부터 찾아서, 여기로 왔습니다.
한국 분이 쓰셨다니 더 좋네요. ^^ 잘 사용하겠습니다.
혹시 문제가 있다면 알려드릴께요. ^^
[손님]
2012-02-16 07시14분
[바람나그네] 아. 두가지 방법 중에 어떤 것이 더 좋나요?
두 글 다 읽었는데...... 장단점은 모르겠네요.
[손님]
2012-02-16 10시35분
어떤 2가지 방법인가요? codeproject 에 있는 것과 MSIL Injection 인가요?
정성태
2012-02-17 08시09분
[바람나그네] 네.. codeproject와 MSIL injection은 구현 방식이 다른 것 같아서요.
그리고, 첫 번째 방법은 시도해보니 제 코드에서는 동작하지 않네요.
"위의 방법은, 일단 JIT 컴파일 된 이후에는 효력이 없다는 것!" 이 의미가 codeproject 에 나온 방법은 한계가 있다는 뜻인가요?
[손님]
2012-02-17 11시07분
제가 위의 댓글에서 MSIL Injection 은 JIT 컴파일 된 이후에는 효력이 없다고 적었는데요. 반면에 codeproject 것은 JIT 컴파일 후에야 동작합니다. (그래서 codeproject 것은 일부러 JIT 컴파일을 시킵니다.)

정성태
2012-02-19 11시47분
[바람나그네] 아.. 친절한 답변 감사합니다. ^^
시도해보겠습니다.
[손님]

[1]  2  3  4  5  6  7  8  9  10  11  12  13  14  15  ...
NoWriterDateCnt.TitleFile(s)
12641정성태5/13/202121디버깅 기술: 179. 윈도우 용 .NET Core 3 이상에서 Windbg의 sos 사용법
12640정성태5/13/20216오류 유형: 716. RDP 연결 - Because of a protocol error (code: 0x112f), the remote session will be disconnected.
12639정성태5/12/202113오류 유형: 715. Arduino: Open Serial Monitor - The module '...\detection.node' was compiled against a different Node.js version using NODE_MODULE_VERSION
12638정성태5/12/202129사물인터넷: 63. NodeMCU v1 ESP8266 - 펌웨어 내 파일 시스템(SPIFFS, LittleFS) 및 EEPROM 활용
12637정성태5/10/202131사물인터넷: 62. NodeMCU v1 ESP8266 보드의 A0 핀에 다중 아날로그 센서 연결
12636정성태5/10/202141사물인터넷: 61. NodeMCU v1 ESP8266 보드의 A0 핀 사용법 - FSR-402 아날로그 압력 센서 연동파일 다운로드1
12635정성태5/9/202155기타: 81. OpenTabletDriver를 (관리자 권한으로 실행하지 않고도) 관리자 권한의 프로그램에서 동작하게 만드는 방법
12634정성태5/9/202158개발 환경 구성: 572. .NET에서의 신뢰도 등급 조정 - 외부 Manifest 파일을 두는 방법파일 다운로드1
12633정성태5/7/202184개발 환경 구성: 571. UAC - 관리자 권한 없이 UIPI 제약을 없애는 방법
12632정성태5/8/202187기타: 80. (WACOM도 지원하는) Tablet 공통 디바이스 드라이버 - OpenTabletDriver
12631정성태5/7/2021101사물인터넷: 60. ThingSpeak 사물인터넷 플랫폼에 ESP8266 NodeMCU v1 + 조도 센서 장비 연동파일 다운로드1
12630정성태5/12/202175사물인터넷: 59. NodeMCU v1 ESP8266 보드의 A0 핀 사용법 - CdS Cell(GL3526) 조도 센서 연동파일 다운로드1
12629정성태5/5/2021157.NET Framework: 1057. C# - CoAP 서버 및 클라이언트 제작 (UDP 소켓 통신)파일 다운로드1
12628정성태5/4/202141Linux: 39. Eclipse 원격 디버깅 - Cannot run program "gdb": Launching failed
12627정성태5/4/202149Linux: 38. 라즈베리 파이 제로 용 프로그램 개발을 위한 Eclipse C/C++ 윈도우 환경 설정
12626정성태5/3/202170.NET Framework: 1056. C# - Thread.Suspend 호출 시 응용 프로그램 hang 현상 (2)파일 다운로드1
12625정성태5/3/202142오류 유형: 714. error CS5001: Program does not contain a static 'Main' method suitable for an entry point
12624정성태5/3/2021262.NET Framework: 1055. C# - struct/class가 스택/힙에 할당되는 사례 정리 [6]파일 다운로드1
12623정성태5/2/2021119.NET Framework: 1054. C# 9 최상위 문에 STAThread 사용파일 다운로드1
12622정성태5/3/202141오류 유형: 713. XSD 파일을 포함한 프로젝트 - The type or namespace name 'TypedTableBase<>' does not exist in the namespace 'System.Data'
12621정성태5/1/2021151.NET Framework: 1053. C# - 특정 레지스트리 변경 시 알림을 받는 방법파일 다운로드1
12620정성태5/3/2021363.NET Framework: 1052. C# - 왜 구조체는 16 바이트의 크기가 적합한가? [1]파일 다운로드1
12619정성태4/29/2021313.NET Framework: 1051. C# - 구조체의 크기가 16바이트가 넘어가면 힙에 할당된다? [1]파일 다운로드1
12618정성태5/12/2021111사물인터넷: 58. NodeMCU v1 ESP8266 CP2102 Module을 이용한 WiFi UDP 통신파일 다운로드1
12617정성태4/26/202169.NET Framework: 1050. C# - ETW EventListener의 Keywords 별 EventId에 따른 필터링 방법파일 다운로드1
[1]  2  3  4  5  6  7  8  9  10  11  12  13  14  15  ...