Microsoft MVP성태의 닷넷 이야기
Windows: 167. CoTaskMemAlloc/CoTaskMemFree과 윈도우 Heap의 관계 [링크 복사], [링크+제목 복사]
조회: 1503
글쓴 사람
정성태 (techsharer at outlook.com)
홈페이지
첨부 파일
 

CoTaskMemAlloc/CoTaskMemFree과 윈도우 Heap의 관계

지난 글에서 다뤘지만,

windbg - CoTaskMemFree/FreeCoTaskMem에서 발생한 덤프 분석 사례
; https://www.sysnet.pe.kr/2/0/12058

당연히 윈도우 환경에서의 메모리 사용이니 CoTaskMemAlloc도,

CoTaskMemAlloc function
; https://docs.microsoft.com/en-us/windows/win32/api/combaseapi/nf-combaseapi-cotaskmemalloc

내부적으로는 Windows Heap에 의존할 수밖에 없습니다. 그럼 어떻게 의존하는지 간단하게 살펴볼까요? ^^

#include <iostream>
#include <combaseapi.h>

int main()
{
    int size = 20;

    LPVOID pVoid = CoTaskMemAlloc(size);
    printf("pVoid == 0x%x\n", pVoid);
    memset(pVoid, 0xff, size);

    CoTaskMemFree(pVoid);

    return 0;
}

CoTaskMemFree를 호출하는 코드를 보면,

...[생략]...
00835DF4 8B F4                mov         esi,esp  
00835DF6 8B 45 E8             mov         eax,dword ptr [pVoid1]  
00835DF9 50                   push        eax  
00835DFA FF 15 58 D1 83 00    call        dword ptr [__imp__CoTaskMemFree@4 (083D158h)]  
00835E00 3B F4                cmp         esi,esp  
00835E02 E8 74 B4 FF FF       call        __RTC_CheckEsp (083127Bh)  
...[생략]...

--- onecore\com\combase\class\memapi.cxx ---------------------------------------
7623F800 8B FF                mov         edi,edi  
7623F802 55                   push        ebp  
7623F803 8B EC                mov         ebp,esp  
7623F805 A1 E4 4E 39 76       mov         eax,dword ptr [g_CMalloc (76394EE4h)] // 전역 IMalloc 인스턴스를 eax에 저장  
7623F80A 56                   push        esi   //  non-volatile 레지스터 값이므로 사용 전 push
7623F80B 8B 70 14             mov         esi,dword ptr [eax+14h]  // esi == IMalloc 인터페이스의 6번째 메서드 포인터
7623F80E 81 FE 20 F5 20 76    cmp         esi,offset CRetailMalloc_Free (7620F520h)  
7623F814 0F 85 C9 75 07 00    jne         `Microsoft::WRL::Module<1,Microsoft::WRL::Details::DefaultModule<1> >::Create'::`2'::`dynamic atexit destructor for 'moduleSingleton''+3CC3h (762B6DE3h)  
7623F81A 8B 45 08             mov         eax,dword ptr [ebp + 8]  // ebp + 8 == 첫 번째 인자 pVoid1 
7623F81D 85 C0                test        eax,eax  
7623F81F 74 0F                je          CoTaskMemFree+30h (7623F830h)  
7623F821 50                   push        eax  
7623F822 6A 00                push        0  
7623F824 FF 35 0C 50 39 76    push        dword ptr [g_hHeap (7639500Ch)]  
7623F82A FF 15 94 72 39 76    call        dword ptr [__imp__HeapFree@12 (76397294h)]  
7623F830 5E                   pop         esi  
7623F831 5D                   pop         ebp  
7623F832 C2 04 00             ret         4  

내부적으로 이미 생성해 두었던 IMalloc 전역 인스턴스(g_CMalloc)의,

g_CMalloc   {lpVtbl=0x7616d158 {combase.dll!IMallocVtbl CRetailMallocVtbl} {QueryInterface=0x76315f80 {combase.dll!CMalloc_QueryInterface(IMalloc *, const _GUID &, void * *)} ...} }   CMalloc

6번째 메서드가,

0x7616D158  76315f80  (QueryInterface)
0x7616D15C  7628e8a0  (AddRef)
0x7616D160  7628e8a0  (Release)
0x7616D164  7620f260  (IMalloc::Alloc)
0x7616D168  762781b0  (IMalloc::DidAlloc)
0x7616D16C  7620f520  (IMalloc::Free) <== eax + 14h 
0x7616D170  7626e3a0  
0x7616D174  76290f30  
0x7616D178  76315fc0  
0x7616D17C  00000000  
0x7616D180  00000001  

CRetailMalloc_Free 함수와 동일한 주소인지 체크한 후 맞는다면, HeapFree를 다음과 같은 인자로 호출합니다.

HeapFree(g_hHeap, 0, pVoid);

여기서 g_hHeap은 Win32 프로세스가 생성하는 default Heap으로 Win32 API로는 GetProcessHeap으로 구할 수 있습니다.

HANDLE hDefaultHeap = GetProcessHeap();
printf("pVoid == 0x%x\n", hDefaultHeap);

이게 끝입니다. 이후부터는 HeapFree의 절차를 그대로 따릅니다. 따라서 실질적인 기준으로 본다면, g_CMalloc 관련 코드도 단순히 CRetailMalloc_Free와 비교하는 것일 뿐 정작 g_CMalloc::Free 메서드를 호출하는 것도 아니기 때문에 CoTaskMemFree는 곧바로 HeapFree를 호출하는 것과 별반 다르지 않습니다.

정리하면, CoTaskMemAlloc == HeapAlloc(g_hHeap, ...)으로, CoTaskMemFree == HeapFree(g_hHeap, ...)이라고 보면 됩니다.




[이 글에 대해서 여러분들과 의견을 공유하고 싶습니다. 틀리거나 미흡한 부분 또는 의문 사항이 있으시면 언제든 댓글 남겨주십시오.]



donaricano-btn



[최초 등록일: ]
[최종 수정일: 9/24/2020 ]

Creative Commons License
이 저작물은 크리에이티브 커먼즈 코리아 저작자표시-비영리-변경금지 2.0 대한민국 라이센스에 따라 이용하실 수 있습니다.
by SeongTae Jeong, mailto:techsharer@outlook.com

비밀번호

댓글 쓴 사람
 




1  2  3  4  5  6  7  8  9  10  11  12  13  14  [15]  ...
NoWriterDateCnt.TitleFile(s)
12153정성태7/15/2020999.NET Framework: 898. Trampoline을 이용한 후킹의 한계파일 다운로드1
12152정성태2/23/2020900.NET Framework: 897. 실행 시에 메서드 가로채기 - CLR Injection: Runtime Method Replacer 개선 - 세 번째 이야기(Trampoline 후킹)파일 다운로드1
12151정성태2/23/2020993.NET Framework: 896. C# - Win32 API를 Trampoline 기법을 이용해 C# 메서드로 가로채는 방법 - 두 번째 이야기 (원본 함수 호출)파일 다운로드1
12150정성태2/23/20201052.NET Framework: 895. C# - Win32 API를 Trampoline 기법을 이용해 C# 메서드로 가로채는 방법 [1]파일 다운로드1
12149정성태2/20/20201079.NET Framework: 894. eBEST C# XingAPI 래퍼 - 연속 조회 처리 방법 [1]
12148정성태2/23/20201192디버깅 기술: 163. x64 환경에서 구현하는 다양한 Trampoline 기법
12147정성태2/27/2020971디버깅 기술: 162. x86/x64의 기계어 코드 최대 길이
12146정성태2/18/2020981.NET Framework: 893. eBEST C# XingAPI 래퍼 - 로그인 처리파일 다운로드1
12145정성태2/18/2020928.NET Framework: 892. eBEST C# XingAPI 래퍼 - Sqlite 지원 추가파일 다운로드1
12144정성태2/23/2020928.NET Framework: 891. 실행 시에 메서드 가로채기 - CLR Injection: Runtime Method Replacer 개선 - 두 번째 이야기파일 다운로드1
12143정성태11/6/2020745.NET Framework: 890. 상황별 GetFunctionPointer 반환값 정리 - x64파일 다운로드1
12142정성태2/27/2020938.NET Framework: 889. C# 코드로 접근하는 MethodDesc, MethodTable파일 다운로드1
12141정성태2/10/20201107.NET Framework: 888. C# - ASP.NET Core 웹 응용 프로그램의 출력 가로채기 [1]파일 다운로드1
12140정성태2/10/2020893.NET Framework: 887. C# - ASP.NET 웹 응용 프로그램의 출력 가로채기파일 다운로드1
12139정성태2/9/20201306.NET Framework: 886. C# - Console 응용 프로그램에서 UI 스레드 구현 방법
12138정성태2/9/20201569.NET Framework: 885. C# - 닷넷 응용 프로그램에서 Sqlite 사용 [3]파일 다운로드1
12137정성태2/9/2020781오류 유형: 592. [AhnLab] 경고 - 디버거 실행을 탐지했습니다.
12136정성태9/24/2020778Windows: 168. Windows + S(또는 Q)로 뜨는 작업 표시줄의 검색 바가 동작하지 않는 경우
12135정성태7/9/20201017개발 환경 구성: 468. Nuget 패키지의 로컬 보관 폴더를 옮기는 방법 [1]
12134정성태2/5/20202108.NET Framework: 884. eBEST XingAPI의 C# 래퍼 버전 - XingAPINet Nuget 패키지 [2]파일 다운로드1
12133정성태11/6/2020998디버깅 기술: 161. Windbg 환경에서 확인해 본 .NET 메서드 JIT 컴파일 전과 후 - 두 번째 이야기
12132정성태2/20/20201369.NET Framework: 883. C#으로 구현하는 Win32 API 후킹(예: Sleep 호출 가로채기)파일 다운로드1
12131정성태1/27/20201616개발 환경 구성: 467. LocaleEmulator를 이용해 유니코드를 지원하지 않는(한글이 깨지는) 프로그램을 실행하는 방법
12130정성태1/26/2020905VS.NET IDE: 142. Visual Studio에서 windbg의 "Open Executable..."처럼 EXE를 직접 열어 디버깅을 시작하는 방법
12129정성태1/26/20202855.NET Framework: 882. C# - 키움 Open API+ 사용 시 Registry 등록 없이 KHOpenAPI.ocx 사용하는 방법 [1]
12128정성태1/26/20201008오류 유형: 591. The code execution cannot proceed because mfc100.dll was not found. Reinstalling the program may fix this problem.
1  2  3  4  5  6  7  8  9  10  11  12  13  14  [15]  ...