Microsoft MVP성태의 닷넷 이야기
.NET Framework: 870. C# - 프로세스의 모든 핸들을 열람 [링크 복사], [링크+제목 복사]
조회: 1202
글쓴 사람
정성태 (techsharer at outlook.com)
홈페이지
첨부 파일
 

C# - 프로세스의 모든 핸들을 열람

예전에 쓴 글이 있긴 한데,

C# - (핸들을 이용하여) 모든 열린 파일을 열람
; https://www.sysnet.pe.kr/2/0/1338

C# - 닷넷에서 프로세스가 열고 있는 파일 목록을 구하는 방법
; https://www.sysnet.pe.kr/2/0/10833

위의 코드에서 걸리는 점이 있다면, 포인터에 대해 직접 offset 값을 취해 정보를 얻는다는 것입니다. 그런데 최근에 다음의 글을 읽게 되었는데,

Reversing Windows Internals (Part 1) ? Digging Into Handles, Callbacks & ObjectTypes
; https://rayanfam.com/topics/reversing-windows-internals-part1/

저 글에서 소개한 소스 코드를 보면 정식적인 구조체를 이용해 해결하고 있습니다.

SinaKarvandi/Process-Magics
; https://github.com/SinaKarvandi/Process-Magics

Process-Magics/EnumAllHandles/EnumAllHandles/
; https://github.com/SinaKarvandi/Process-Magics/tree/master/EnumAllHandles/EnumAllHandles

이참에, 찾아 보니 그런대로 이미 구조체들이 공식 문서화된 것들이 있습니다. ^^

NtQueryObject function (winternl.h)
; https://docs.microsoft.com/en-us/windows/win32/api/winternl/nf-winternl-ntqueryobject

PUBLIC_OBJECT_TYPE_INFORMATION structure (ntifs.h)
; https://docs.microsoft.com/en-us/windows-hardware/drivers/ddi/ntifs/ns-ntifs-__public_object_type_information
typedef struct _PUBLIC_OBJECT_BASIC_INFORMATION {
    ULONG Attributes;
    ACCESS_MASK GrantedAccess;
    ULONG HandleCount;
    ULONG PointerCount;
    ULONG Reserved[10];    // reserved for internal use
 } PUBLIC_OBJECT_BASIC_INFORMATION, *PPUBLIC_OBJECT_BASIC_INFORMATION;

PUBLIC_OBJECT_TYPE_INFORMATION structure (ntifs.h)
; https://docs.microsoft.com/en-us/windows-hardware/drivers/ddi/ntifs/ns-ntifs-__public_object_type_information
typedef struct __PUBLIC_OBJECT_TYPE_INFORMATION {
    UNICODE_STRING TypeName;
    ULONG Reserved [22];    // reserved for internal use
} PUBLIC_OBJECT_TYPE_INFORMATION, *PPUBLIC_OBJECT_TYPE_INFORMATION;

ObQueryNameString function - ntifs.h (include FltKernel.h, Ntifs.h)
; https://docs.microsoft.com/en-us/windows-hardware/drivers/ddi/ntifs/nf-ntifs-obquerynamestring

typedef struct _OBJECT_NAME_INFORMATION {
  UNICODE_STRING Name;
} OBJECT_NAME_INFORMATION, *POBJECT_NAME_INFORMATION;

한 가지 아쉬운 점은, NtQuerySystemInformation 함수를 통해 모든 핸들 정보를 구하는 SystemHandleInformation 관련 구조체는 (사실상 documented에 가깝지만 ^^;) 여전히 undocumented 상태라는 점입니다.




그런데, 이 코드를 실행해 보면 dropbox가 설치된 컴퓨터에서 다음의 코드를 실행 시 hang 현상이 발생합니다.

// GetHandleName 함수
while (NtQueryObject(*DUP_HANDLE, ObjectNameInformation, OBJECT_NAME, GuessSize, &RequiredSize) == STATUS_INFO_LENGTH_MISMATCH)

문제가 되는 핸들을 알아내 Process Explorer에서 살펴보면 항상 다음의 Handle에서 멈추는 것을 확인할 수 있는데,

Type: File
Name: \Device\NamedPipe\DropboxDataPipe

이 외에도 몇몇 Handle에서 멈춤 현상이 동일하게 발생합니다. 그때마다 "DropboxDataPipe"와 동일한 것은 해당 핸들의 "속성" 창으로 보안 정보를 보려고 했을 때,

handle_enum_1.png

The requested security information is either unavailable or can't be displayed.

위와 같이 조회가 안 되지만, 저렇게 보안 정보가 안 보이는 것이라고 해도 모든 핸들의 정보가 NtQueryObject에서 hang 현상이 발생하지는 않습니다. 예를 들어, "\Device\CNG"가 예외인 경우였습니다.

관련해서 검색해 보면,

MPC-HC causes a freeze
; https://github.com/erengy/taiga/issues/270

이런 글이 나오고 그런 현상을 예외로 걸러내기 위해 다음과 같은 조건을 포함하고 있습니다.

// https://github.com/tamentis/psutil/blob/master/psutil/arch/mswindows/process_handles.c

// Skip access codes that can cause NtDuplicateObject() or NtQueryObject()
// to hang
if (handle.GrantedAccess == 0x00100000 ||
    handle.GrantedAccess == 0x00120189 ||
    handle.GrantedAccess == 0x0012019f ||
    handle.GrantedAccess == 0x001a019f ||
    handle.GrantedAccess == 0x0012008D)
  continue;

// 또는,
// https://github.com/erengy/anisthesia/blob/master/src/win/open_files.cpp

if (!(access_mask & FILE_READ_DATA))
    return false;

// We further assume that media players do not have any kind of write access
// to video files:
if ((access_mask & FILE_APPEND_DATA) ||
    (access_mask & FILE_WRITE_EA) ||
    (access_mask & FILE_WRITE_ATTRIBUTES)) {
    return false;
}

문제는, 저게 요행히 맞을 수는 있어도 GrantedAccess/access_mask 값이 hang 현상과 직접적인 연관은 없다는 점입니다. 게다가 hang이 발생했던 "\Device\NamedPipe\DropboxDataPipe"의 경우 제 시스템에서는 GrantedAccess 값이 0x120089였고, 그와 동일한 GrantedAccess 값을 가지고 있던 다른 Handle(예, "\Device\DeviceApi")에 대해서는 NtQueryObject 조회가 정상적으로 실행되었습니다.

다른 글을 보면,

C# (CSharp) SYSTEM_HANDLE_INFORMATION Examples
; https://csharp.hotexamples.com/examples/-/SYSTEM_HANDLE_INFORMATION/-/php-system_handle_information-class-examples.html

이렇게도 비교하는데,

//skip special NamedPipe handle (this may cause hang up with NtQueryObject function)
if (targetHandleInfo.AccessMask.ToInt64() == 0x0012019F)
{
    return String.Empty;
}

그나마 주석에서 얻은 한 가지 힌트라면 "특별한 NamedPipe"라고 가정을 하지만 그렇다고 해서 크게 도움이 되지는 않습니다. 왜냐하면 AccessMark == 0x0012019F를 가진 핸들 중에서 그것이 "File"인지, "특별한 NamedPipe"인지 구별할 수 있는 방법이 없기 때문입니다.

반면, "Process Explorer"는 hang 현상 없이 정확히 해당 정보를 가져오는 걸로 봐서 아마도 Kernel driver 영역에서나 가능하지 않을까 예상해 봅니다. (혹시 User 모드에서 해당 방법을 아시는 분은 덧글 부탁드립니다. ^^)




그러니까... 이 문제는 우회적으로 피해 가야 합니다. 예를 들어 지난 글에서 설명한,

C# - (핸들을 이용하여) 모든 열린 파일을 열람
; https://www.sysnet.pe.kr/2/0/1338

코드에서는 이를 회피하기 위해 별도의 스레드에 작업을 맡긴 후 EventWaitHandle.WaitOne(timeout)을 호출하는 방식으로 해결하고 있습니다.

private static bool GetFileNameFromHandle(IntPtr handle, out string fileName, int wait)
{
    using (FileNameFromHandleState f = new FileNameFromHandleState(handle))
    {
        ThreadPool.QueueUserWorkItem(new WaitCallback(GetFileNameFromHandle), f);
        if (f.WaitOne(wait))
        {
            fileName = f.FileName;
            return f.RetValue;
        }
        else
        {
            fileName = string.Empty;
            return false;
        }
    }
}

심지어 ProcessHacker 소스 코드에서도,

processhacker/phlib/hndlinfo.c
; https://github.com/processhacker/processhacker/blob/master/phlib/hndlinfo.c

PhpGetObjectName에 보면, PhCallNtQueryObjectWithTimeout과 NtQueryObject를 섞어 쓰고 있습니다.




이렇게 해서 소스 코드를 "C# - (핸들을 이용하여) 모든 열린 파일을 열람" 글에서 사용했던 것에 비해 좀 더 개선을 했습니다.

DotNetSamples/WinForms/EnumHandles/
; https://github.com/stjeong/DotNetSamples/tree/master/WinForms/EnumHandles

그래서 새롭게 변경한 소스 코드를 활용하면 다음과 같은 식으로 원하는 프로세스의 핸들을 열람할 수 있습니다.

using (WindowsHandleInfo whi = new WindowsHandleInfo())
{
    for (int i = 0; i < whi.HandleCount; i++)
    {
        SYSTEM_HANDLE_ENTRY she = whi[i];

        if (she.OwnerPid != processId)
        {
            continue;
        }

        string objName = she.GetName(out string handleTypeName);

        Console.WriteLine($"{handleTypeName}: {objName}");
    }
}

다음 화면은 Process Explorer의 출력 결과(왼쪽)와 첨부한 예제 프로젝트의 실행 결과를 보여줍니다.

handle_enum_2.png

속도는 Process Explorer보다 느리지만, 상황에 따라 쓸만할 것입니다. ^^




당연한 이야기겠지만, GetFileNameFromHandle에서 hang 현상을 피하기 위해 ThreadPool.QueueUserWorkItem을 사용함으로써 만약 저 기능을 계속해서 호출하면 "hang 현상에 걸린 스레드"가 지속적으로 누적될 수 있습니다. 다음은 Visual Studio의 디버그 모드로 해당 스레드들이 누적되어 있는 것을 보여줍니다.

handle_enum_3.png





[이 글에 대해서 여러분들과 의견을 공유하고 싶습니다. 틀리거나 미흡한 부분 또는 의문 사항이 있으시면 언제든 댓글 남겨주십시오.]

[연관 글]





[최초 등록일: ]
[최종 수정일: 12/16/2019 ]

Creative Commons License
이 저작물은 크리에이티브 커먼즈 코리아 저작자표시-비영리-변경금지 2.0 대한민국 라이센스에 따라 이용하실 수 있습니다.
by SeongTae Jeong, mailto:techsharer@outlook.com

비밀번호

댓글 쓴 사람
 




1  [2]  3  4  5  6  7  8  9  10  11  12  13  14  15  ...
NoWriterDateCnt.TitleFile(s)
12308정성태9/2/2020267개발 환경 구성: 506. Windows - 단일 머신에서 단일 바이너리로 여러 개의 ElasticSearch 노드를 실행하는 방법
12307정성태9/2/2020161오류 유형: 643. curl - json_parse_exception / Invalid UTF-8 start byte
12306정성태9/1/2020171오류 유형: 642. SQL Server 시작 오류 - error code 10013
12305정성태9/1/2020212Windows: 170. "Administered port exclusions"이 아닌 포트 범위 항목을 삭제하는 방법
12304정성태9/1/2020266개발 환경 구성: 505. 윈도우 - (네트워크 어댑터의 우선 순위로 인한) 열거되는 IP 주소 순서를 조정하는 방법
12303정성태8/30/2020243개발 환경 구성: 504. ETW - 닷넷 프레임워크 기반의 응용 프로그램을 위한 명령행 도구 etrace 소개
12302정성태8/30/2020184.NET Framework: 936. C# - ETW 관련 Win32 API 사용 예제 코드 (5) - Private Logger파일 다운로드1
12301정성태8/30/2020143오류 유형: 641. error MSB4044: The "Fody.WeavingTask" task was not given a value for the required parameter "IntermediateDir".
12300정성태8/29/2020155.NET Framework: 935. C# - ETW 관련 Win32 API 사용 예제 코드 (4) CLR ETW Consumer파일 다운로드1
12299정성태8/29/2020177.NET Framework: 934. C# - ETW 관련 Win32 API 사용 예제 코드 (3) ETW Consumer 구현파일 다운로드1
12298정성태8/27/2020134오류 유형: 640. livekd - Could not resolve symbols for ntoskrnl.exe: MmPfnDatabase
12297정성태8/25/2020154개발 환경 구성: 503. SHA256 테스트 인증서 생성 방법
12296정성태8/29/2020202.NET Framework: 933. C# - ETW 관련 Win32 API 사용 예제 코드 (2) NT Kernel Logger파일 다운로드1
12295정성태8/24/2020156오류 유형: 639. Bitvise - Address is already in use; bind() in ListeningSocket::StartListening() failed: Windows error 10013: An attempt was made to access a socket ,,,
12293정성태8/24/2020205Windows: 169. "Administered port exclusions" 설명
12292정성태8/29/2020272.NET Framework: 932. C# - ETW 관련 Win32 API 사용 예제 코드 (1)파일 다운로드2
12291정성태8/15/2020172오류 유형: 638. error 1297: Device driver does not install on any devices, use primitive driver if this is intended.
12290정성태8/11/2020482.NET Framework: 931. C# - IP 주소에 따른 국가별 위치 확인 [1]파일 다운로드1
12289정성태8/6/2020283개발 환경 구성: 502. Portainer에 윈도우 컨테이너를 등록하는 방법
12288정성태8/5/2020254오류 유형: 637. WCF - The protocol 'net.tcp' does not have an implementation of HostedTransportConfiguration type registered.
12287정성태8/5/2020183오류 유형: 636. C# - libdl.so를 DllImport로 연결 시 docker container 내에서 System.DllNotFoundException 예외 발생
12286정성태8/5/2020216개발 환경 구성: 501. .NET Core 용 container 이미지 만들 때 unzip이 필요한 경우
12285정성태8/4/2020247오류 유형: 635. 윈도우 10 업데이트 - 0xc1900209 [2]
12284정성태8/26/2020311디버깅 기술: 169. Hyper-V의 VM에 대한 메모리 덤프를 뜨는 방법
12283정성태8/3/2020208디버깅 기술: 168. windbg - 필터 드라이버 확인하는 확장 명령어(!fltkd)
12282정성태8/2/2020194디버깅 기술: 167. windbg 디버깅 사례: AppDomain 간의 static 변수 사용으로 인한 crash (2)
1  [2]  3  4  5  6  7  8  9  10  11  12  13  14  15  ...