Microsoft MVP성태의 닷넷 이야기
.NET Framework: 898. Trampoline을 이용한 후킹의 한계 [링크 복사], [링크+제목 복사]
조회: 982
글쓴 사람
정성태 (techsharer at outlook.com)
홈페이지
첨부 파일

Trampoline을 이용한 후킹의 한계

지난 글에서,

C# - Win32 API를 Trampoline 기법을 이용해 C# 메서드로 가로채는 방법
; https://www.sysnet.pe.kr/2/0/12150

코드를 구현하면서 Sleep이 아닌, SleepEx API를 예로 들었습니다. 왜냐하면, (x64 환경에서) Sleep의 경우는 함수의 Body 구현이 다음과 같이 SleepEx로의 실행만 변경하는 JMP 문으로 이뤄졌기 때문입니다.

KERNELBASE!Sleep:
00007ffc`f22e6880 33d2            xor     edx,edx // 기본적으로 bAlertable 인자를 false로 설정해, SleepEx를 호출
00007ffc`f22e6882 e909000000      jmp     KERNELBASE!SleepEx (00007ffc`f22e6890)
00007ffc`f22e6887 cc              int     3
...[16바이트 정렬까지 cc 반복]...

이것이 왜 문제가 되는지 살펴볼까요? ^^ 지난 글에서,

C# - Win32 API를 Trampoline 기법을 이용해 C# 메서드로 가로채는 방법 - 두 번째 이야기 (원본 함수 호출)
; https://www.sysnet.pe.kr/2/0/12151

이미 설명했지만, 원본 메서드는 우회를 위한 메서드로 JMP 패치될 것이고,

KERNELBASE!Sleep:
00007ffc`f22e6880 e90b17c98a      jmp     00007ffc`7cf77f90
00007ffc`f22e6885 0000            add     byte ptr [rax],al
00007ffc`f22e6887 cc              int     3
00007ffc`f22e6888 cc              int     3

이로 인해 영향받는 원본 함수의 진입 코드를 나중에 호출하기 위해 (또한 이후의 원본 코드로 JMP할 코드와 함께) 별도의 메모리에 다음과 같은 식으로 적재해 둘 것입니다.

00000000`006b0000 33d2            xor     edx,edx
00000000`006b0002 e909000000      jmp     00000000`006b0010
00000000`006b0007 48b887682ef2fc7f0000 mov rax,offset KERNELBASE!Sleep+0x7 (00007ffc`f22e6887)
00000000`006b0011 ffe0            jmp     rax
00000000`006b0013 0000            add     byte ptr [rax],al
00000000`006b0015 0000            add     byte ptr [rax],al
00000000`006b0017 0000            add     byte ptr [rax],al

그런데, JMP (0xe9) 코드는 현재의 RIP 주소를 기준으로 점프할 변위를 4바이트로 가지고 있으므로, 이것이 "KERNELBASE!Sleep" 기준으로는 정확히 SleepEx의 위치를 가리키는 반면,

KERNELBASE!Sleep:
00007ffc`f22e6880 33d2            xor     edx,edx
00007ffc`f22e6882 e909000000      jmp     KERNELBASE!SleepEx (00007ffc`f22e6890)
// ...[생략]...

새롭게 백업이 된 "00000000`006b0000" 주소를 기준으로는 "00000000`006b0010" 위치로 점프하기 때문에 대부분의 경우 AccessViolationException 예외가 떨어지게 됩니다.

Unhandled Exception: System.AccessViolationException: Attempted to read or write protected memory. This is often an indication that other memory is corrupt.
   at ConsoleApp1.Program.Replaced_TestMethod(Int32 milliseconds) 
   at ConsoleApp1.Program.Sleep(Int32 milliseconds)
   at ConsoleApp1.Program.Main(String[] _) 




이 문제를 해결하려면, 당연히 백업이 될 원본 코드에 대해 변위값을 갖는 명령어가 있는 경우 그 값을 보정해야만 합니다. 예를 들어, Sleep의 경우에는,

00000000`006b0000 33d2            xor     edx,edx
00000000`006b0002 e909000000      jmp     00000000`006b0010
00000000`006b0007 48b887682ef2fc7f0000 mov rax,offset KERNELBASE!Sleep+0x7 (00007ffc`f22e6887)
00000000`006b0011 ffe0            jmp     rax

0xe9 다음의 4바이트 "rel32" 값을 현재 00000000`006b0007 주소를 기준으로 원래 호출하려고 했던 KERNELBASE!SleepEx의 주소인 00007ffc`f22e6890까지의 변위로 맞춰야 합니다. 그런데 여기서도 문제가 있습니다. 기존 함수에서는 "JMP rel32"로 처리할 수 있었지만 새롭게 할당받은 함수의 백업 주소에서는 "00007ffc`f22e6890" 주소까지 +/- 2GB의 한계를 넘기 때문에 "MOV/JMP" 코드로 변경해 줘야 합니다.

Sleep의 경우 위와 같은 처리만 해주면 정상 동작시킬 수 있습니다. 하지만, 여전히 100% 동작시킬 수 있다고는 장담할 수 없습니다. 왜냐하면 JMP 구문은 이외에도 JZ, JNZ,... 등으로 다양한 코드가 있기 때문에 그것들도 모두 처리해야 합니다. 그래도 끝이 아닙니다. 가령 원본 함수에서 백업된 코드 영역으로, 즉 마이너스 변위를 갖는 JMP 코드가 있다면 그것 또한 정상적인 동작을 하지 않게 됩니다. 결론적으로 봤을 때 Trampoline 패치는 100% 안전을 보증할 수는 없는 것입니다. (그래도 많은 경우, "원본 함수"를 호출할 필요 없이 "가로채기"만 필요하다면 제약이 그나마 덜합니다.)

그런저런 이유로 인해, 가능하다면 trampoline보다는 더 안전한 Export/Import Address 테이블에 대한 패치라던지, IL 메서드의 경우 "실행 시에 메서드 가로채기 - CLR Injection: Runtime Method Replacer 개선 - 두 번째 이야기" 글에서 다룬 NetMethodReplacer.ReplaceMethod 정도의 기능으로 해결하는 것이 권장할 수 있는 방법입니다.

결국 "x64 환경에서 구현하는 다양한 Trampoline 기법" 글의 가장 마지막에 소개했던 덧글 내용으로 이야기가 돌아갑니다.

How to Hook DirectX 11 + ImGui (Vermintide 2) - Niemand - Cyber Security says:
January 5, 2019 at 12:03 pm

[…] you are not aware of what trampoline are, I really recommend you to read this post. For the sake of simplicity, we are going to be using Detours to inject a jmp to our method […]




[이 글에 대해서 여러분들과 의견을 공유하고 싶습니다. 틀리거나 미흡한 부분 또는 의문 사항이 있으시면 언제든 댓글 남겨주십시오.]

[연관 글]


donaricano-btn



[최초 등록일: ]
[최종 수정일: 7/15/2020 ]

Creative Commons License
이 저작물은 크리에이티브 커먼즈 코리아 저작자표시-비영리-변경금지 2.0 대한민국 라이센스에 따라 이용하실 수 있습니다.
by SeongTae Jeong, mailto:techsharer@outlook.com

비밀번호

댓글 쓴 사람
 




1  2  3  4  5  6  7  8  9  10  [11]  12  13  14  15  ...
NoWriterDateCnt.TitleFile(s)
12250정성태7/1/20201335.NET Framework: 919. C# - 닷넷에서의 진정한 비동기 호출을 가능케 하는 I/O 스레드 사용법 [1]파일 다운로드1
12249정성태6/29/2020535오류 유형: 625. Microsoft SQL Server 2019 RC1 Setup - 설치 제거 시 Warning 26003 오류 발생
12248정성태6/29/2020528오류 유형: 624. SQL 서버 오류 - service-specific error code 17051
12247정성태6/29/2020827.NET Framework: 918. C# - 불린 형 상수를 반환값으로 포함하는 3항 연산자 사용 시 단축 표현 권장(IDE0075) [2]파일 다운로드1
12246정성태6/29/2020616.NET Framework: 917. C# - USB 관련 ETW(Event Tracing for Windows)를 이용한 키보드 입력을 감지하는 방법
12245정성태6/25/2020992.NET Framework: 916. C# - Task.Yield 사용법 (2) [2]파일 다운로드1
12244정성태1/4/2021740.NET Framework: 915. ETW(Event Tracing for Windows)를 이용한 닷넷 프로그램의 내부 이벤트 활용파일 다운로드1
12243정성태6/23/2020552VS.NET IDE: 147. Visual C++ 프로젝트 - .NET Core EXE를 "Debugger Type"으로 지원하는 기능 추가
12242정성태6/24/2020629오류 유형: 623. AADSTS90072 - User account '...' from identity provider 'live.com' does not exist in tenant 'Microsoft Services'
12241정성태6/26/20201172.NET Framework: 914. C# - Task.Yield 사용법파일 다운로드1
12240정성태12/17/2020825오류 유형: 622. 소켓 바인딩 시 "System.Net.Sockets.SocketException: An attempt was made to access a socket in a way forbidden by its access permissions" 오류 발생
12239정성태6/21/2020617Linux: 30. (윈도우라면 DLL에 속하는) .so 파일이 텍스트로 구성된 사례
12238정성태6/21/2020620.NET Framework: 913. C# - SharpDX + DXGI를 이용한 윈도우 화면 캡처 라이브러리
12237정성태7/8/2020657.NET Framework: 912. 리눅스 환경의 .NET Core에서 "test".IndexOf("\0")가 0을 반환
12236정성태6/19/2020593오류 유형: 621. .NET Standard 대상으로 빌드 시 dynamic 예약어에서 컴파일 오류 - error CS0656: Missing compiler required member 'Microsoft.CSharp.RuntimeBinder.CSharpArgumentInfo.Create'
12235정성태6/19/2020811오류 유형: 620. Windows 10 - Inaccessible boot device 블루 스크린
12234정성태6/19/2020584개발 환경 구성: 494. NuGet - nuspec의 패키지 스키마 버전(네임스페이스) 업데이트 방법
12233정성태6/19/2020489오류 유형: 619. SQL 서버 - The transaction log for database '...' is full due to 'LOG_BACKUP'. - 두 번째 이야기
12232정성태6/19/2020493오류 유형: 618. SharePoint - StoreBusyRetryLater 오류
12231정성태6/15/2020759.NET Framework: 911. Console/Service Application을 위한 SynchronizationContext - AsyncContext
12230정성태6/15/2020608오류 유형: 617. IMetaDataImport::GetMethodProps가 반환하는 IL 코드 주소(RVA) 문제
12229정성태6/13/2020942.NET Framework: 910. USB/IP PROJECT를 이용해 C#으로 USB Keyboard + Mouse 가상 장치 만들기 [1]
12228정성태6/12/2020736.NET Framework: 909. C# - Source Generator를 적용한 XmlCodeGenerator파일 다운로드1
12227정성태6/12/20204054오류 유형: 616. Visual Studio의 느린 업데이트 속도에 대한 원인 분석 [5]
12226정성태6/19/2020951개발 환경 구성: 493. OpenVPN의 네트워크 구성파일 다운로드1
12225정성태6/11/2020981개발 환경 구성: 492. 윈도우에 OpenVPN 설치 - 클라이언트 측 구성
1  2  3  4  5  6  7  8  9  10  [11]  12  13  14  15  ...