Microsoft MVP성태의 닷넷 이야기
글쓴 사람
홈페이지
첨부 파일
 

windbg - x64 SOS 확장의 !clrstack 명령어가 출력하는 Child SP 값의 의미

예전에 windbg의 kv 명령어의 출력에 보이는 Child-SP 값에 대한 설명을 했었습니다.

x64 콜 스택 인자 추적과 windbg의 Child-SP, RetAddr, Args to Child 값 확인
; https://www.sysnet.pe.kr/2/0/10832

kv는 부모 함수에서 자식 함수를 call하고 나서의 (반환값이 적재된) RSP 값을 Child-SP로 출력한다고 했는데요. 이게 저 함수를 분석할 때의 상황에서만 맞을 뿐 다른 경우에는 자식의 SP 레지스터가 변경된 것도 포함합니다. 그런데, 디버거는 이런 정보를 (PDB가 없는 상황에서도) 어떻게 알고 Child SP 값을 계산할 수 있을까요? 이에 대해서는 다음의 글에서 설명하는 UNWIND_CODE 정보를 보시면 자세하게 나옵니다. ^^

X64 에 푹 빠져보기 (X64 Deep Dive)
; http://kuaaan.tistory.com/403

Unwind Data for Exception Handling, Debugger Support
; https://msdn.microsoft.com/en-us/library/0kd71y96.aspx

자, 그럼 !clrstack의 Child SP 값을 한번 실습해 보겠습니다. ^^

이를 위해 다음과 같은 예제를 만들고,

using System;
using System.Text;

namespace ConsoleApp1
{
    class Program
    {
        static void Main(string[] args)
        {
            Console.ReadLine();
            Console.WriteLine(Encoding.UTF8.GetString(TestIt()));
        }

        private static byte[] TestIt()
        {
            try
            {
                string str = typeof(Program).ToString();
                byte[] buffer = Encoding.UTF8.GetBytes(string.Format("ClassName: {1}(len={0})", str.Length, str));

                Console.ReadLine();

                return buffer;
            }
            catch { }

            return null;
        }
    }
}

실행 후 windbg로 연결합니다. 연결 시점에 첫 번째 Console.ReadLine으로 인해 중지된 상태이므로 다음과 같이 TestIt 메서드에 BP를 걸고,

0:000> !bpmd ConsoleApp1 ConsoleApp1.Program.TestIt
Found 1 methods in module 00007ffb70605108...
MethodDesc = 00007ffb706059d0
Adding pending breakpoints...

실행을 계속하면 TestIt 시작 지점에서 BP가 걸립니다.

0:000> g
ModLoad: 00007ffb`cd470000 00007ffb`cd584000   C:\Windows\Microsoft.NET\Framework64\v4.0.30319\clrjit.dll
(1170.65a8): CLR notification exception - code e0444143 (first chance)
*** ERROR: Symbol file could not be found.  Defaulted to export symbols for C:\WINDOWS\System32\KERNELBASE.dll - 
JITTED ConsoleApp1!ConsoleApp1.Program.TestIt()
Setting breakpoint: bp 00007FFB70710556 [ConsoleApp1.Program.TestIt()]
Breakpoint 1 hit
00007ffb`70710556 90              nop

이 상태에서 !clrstack을 실행하면 다음과 같이 TestIt 메서드에 대해 Child SP 값을 확인할 수 있습니다.

0:000> !clrstack
OS Thread Id: 0x65a8 (0)
        Child SP               IP Call Site
0000003d97fcefa0 00007ffb70710556 ConsoleApp1.Program.TestIt() [E:\ConsoleApp1\ConsoleApp1\Program.cs @ 19]
0000003d97fcf060 00007ffb707104c0 ConsoleApp1.Program.Main(System.String[]) [E:\ConsoleApp1\ConsoleApp1\Program.cs @ 13]
0000003d97fcf2f0 00007ffbcfd26793 [GCFrame: 0000003d97fcf2f0] 

ConsoleApp1.Program.TestIt
    child sp 0000003d97fcefa0 
    ip       00007ffb70710556 

그리고 IP 값을 통해 역어셈블을 하면 prologue 코드를 확인할 수 있습니다.

0:000> !U /d 00007ffb70710556
Normal JIT generated code
ConsoleApp1.Program.TestIt()
Begin 00007ffb70710520, size 15b

E:\ConsoleApp1\ConsoleApp1\Program.cs @ 19:
00007ffb`70710520 55              push    rbp
00007ffb`70710521 57              push    rdi
00007ffb`70710522 4881eca8000000  sub     rsp,0A8h
00007ffb`70710529 488dac24b0000000 lea     rbp,[rsp+0B0h]
00007ffb`70710531 488dbd78ffffff  lea     rdi,[rbp-88h]
00007ffb`70710538 b920000000      mov     ecx,20h
00007ffb`7071053d 33c0            xor     eax,eax
00007ffb`7071053f f3ab            rep stos dword ptr [rdi]
00007ffb`70710541 4889a570ffffff  mov     qword ptr [rbp-90h],rsp
00007ffb`70710548 833d3950efff00  cmp     dword ptr [00007ffb`70605588],0
00007ffb`7071054f 7405            je      00007ffb`70710556
00007ffb`70710551 e80abfaa5f      call    clr!JIT_DbgIsJustMyCode (00007ffb`d01bc460)
>>> 00007ffb`70710556 90              nop
...[생략]...

그러니까, "X64 에 푹 빠져보기 (X64 Deep Dive)" 글에 의하면 TestIt 함수에 대한 UNWIND_INFO는 다음과 같이 구성되어 있는 것입니다.

UNWIND_INFO
    ALLOC_SMALL, size=0xa8
    PUSH_NONVOL, register=rdi
    PUSH_NONVOL, register=rbp

현재 windbg로 막 진입했는데 IP 주솟값은 00007ffb`70710556을 가리킵니다. 따라서 RSP 레지스터의 현재 값은 이미 prologue를 모두 지난 상태입니다. 그럼 레지스터의 값들을 볼까요?

0:000> r
rax=0000000000000000 rbx=0000003d97fcf1d8 rcx=0000000000000000
rdx=000001e13dc73e18 rsi=000001e13dc73e00 rdi=0000003d97fcf048
rip=00007ffb70710556 rsp=0000003d97fcefa0 rbp=0000003d97fcf050
 r8=0000000000000000  r9=00007ffb00000000 r10=0000000000000000
r11=0000003d97fceaf0 r12=0000000000000000 r13=0000003d97fcf160
r14=0000003d97fcf1d8 r15=0000000000000004
iopl=0         nv up ei pl zr na po nc
cs=0033  ss=002b  ds=002b  es=002b  fs=0053  gs=002b             efl=00000246
00007ffb`70710556 90              nop

RSP = 0000003d97fcefa0
RBP = 0000003d97fcf050

그렇군요. Child SP였던 0000003d97fcefa0 값이 RSP 레지스터의 값과 일치합니다. 따라서 UNWIND_INFO에 있던 스택의 변경이 모두 반영된 값을 Child SP가 가리키고 있는 것입니다.

반면 RBP 값은 prologue 코드 바로 다음에 이어지는 코드를 통해서도 확인할 수 있습니다.

00007ffb`70710520 55              push    rbp
00007ffb`70710521 57              push    rdi
00007ffb`70710522 4881eca8000000  sub     rsp,0A8h
00007ffb`70710529 488dac24b0000000 lea     rbp,[rsp+0B0h]

즉, RSP 값의 + 0xb0이므로 다음과 같이 간단하게 계산됩니다.

RBP = [Child SP + 0xb0]
    = 0000003d`97fcf050

물론 저 값은 r 명령어를 통해 구한 RBP의 값과 일치합니다.




참고로 이번 글을 먼저 읽고 지난 글을 보면 좀 더 이해가 쉬울 것입니다. ^^

windbg - x64 역어셈블 코드에서 닷넷 메서드 호출의 인자를 확인하는 방법
; https://www.sysnet.pe.kr/2/0/11348




[이 글에 대해서 여러분들과 의견을 공유하고 싶습니다. 틀리거나 미흡한 부분 또는 의문 사항이 있으시면 언제든 댓글 남겨주십시오.]

[연관 글]





[최초 등록일: ]
[최종 수정일: 11/1/2017 ]

Creative Commons License
이 저작물은 크리에이티브 커먼즈 코리아 저작자표시-비영리-변경금지 2.0 대한민국 라이센스에 따라 이용하실 수 있습니다.
by SeongTae Jeong, mailto:techsharer@outlook.com

비밀번호

댓글 쓴 사람
 




... 31  32  33  34  35  36  [37]  38  39  40  41  42  43  44  45  ...
NoWriterDateCnt.TitleFile(s)
11384정성태12/5/20174225오류 유형: 437. Visual C++ - Cannot open include file: 'SDKDDKVer.h'
11383정성태9/18/20194415디버깅 기술: 110. 비동기 코드 실행 중 예외로 인한 ASP.NET 프로세스 비정상 종료 현상 [1]
11382정성태12/4/20175574오류 유형: 436. System.Data.SqlClient.SqlException (0x80131904): Connection Timeout Expired 예외 발생 시 "[Pre-Login] initialization=48; handshake=1944;" 값의 의미
11381정성태11/30/20173278.NET Framework: 702. 한글이 포함된 바이트 배열을 나눈 경우 한글이 깨지지 않도록 다시 조합하는 방법(두 번째 이야기)파일 다운로드1
11380정성태11/30/20173831디버깅 기술: 109. windbg - (x64에서의 인자 값 추적을 이용한) Thread.Abort 시 대상이 되는 스레드를 식별하는 방법
11379정성태11/30/20173079오류 유형: 435. System.Web.HttpException - Session state has created a session id, but cannot save it because the response was already flushed by the application.
11378정성태11/29/20174661.NET Framework: 701. 한글이 포함된 바이트 배열을 나눈 경우 한글이 깨지지 않도록 다시 조합하는 방법 [1]파일 다운로드1
11377정성태11/29/20174333.NET Framework: 700. CommonOpenFileDialog 사용 시 사용자가 선택한 파일 목록을 구하는 방법 [3]파일 다운로드1
11376정성태11/28/20174724VS.NET IDE: 123. Visual Studio 편집기의 \r\n (crlf) 개행을 \n으로 폴더 단위로 설정하는 방법
11375정성태11/28/20173023오류 유형: 434. Visual Studio로 ASP.NET 디버깅 중 System.Web.HttpException - Could not load type 오류
11374정성태8/9/20185489사물인터넷: 14. 라즈베리 파이 - (윈도우의 NT 서비스처럼) 부팅 시 시작하는 프로그램 설정
11373정성태7/16/20183960오류 유형: 433. Raspberry Pi/Windows 다중 플랫폼 지원 컴파일 관련 오류 기록
11372정성태10/2/20186969사물인터넷: 13. 윈도우즈 사용자를 위한 라즈베리 파이 제로 W 모델을 설정하는 방법 [3]
11371정성태11/25/20174366오류 유형: 432. Hyper-V 가상 스위치 생성 시 Failed to connect Ethernet switch port 0x80070002 오류 발생
11370정성태11/25/20173486오류 유형: 431. Hyper-V의 Virtual Switch 생성 시 "External network" 목록에 특정 네트워크 어댑터 항목이 없는 경우
11369정성태5/15/20204647사물인터넷: 12. Raspberry Pi Zero(OTG)를 다른 컴퓨터에 연결해 가상 키보드 및 마우스로 쓰는 방법 (절대 좌표, 상대 좌표, 휠) [1]
11368정성태11/25/20177484.NET Framework: 699. UDP 브로드캐스트 주소 255.255.255.255와 192.168.0.255의 차이점과 이를 고려한 C# UDP 서버/클라이언트 예제 [2]파일 다운로드1
11367정성태11/25/20177988개발 환경 구성: 337. 윈도우 운영체제의 route 명령어 사용법
11366정성태11/25/20174097오류 유형: 430. 이벤트 로그 - Cryptographic Services failed while processing the OnIdentity() call in the System Writer Object.
11365정성태11/25/20173077오류 유형: 429. 이벤트 로그 - User Policy could not be updated successfully
11364정성태8/9/20183776사물인터넷: 11. Raspberry Pi Zero(OTG)를 다른 컴퓨터에 연결해 가상 마우스로 쓰는 방법 (절대 좌표) [2]
11363정성태8/9/20184266사물인터넷: 10. Raspberry Pi Zero(OTG)를 다른 컴퓨터에 연결해 가상 마우스 + 키보드로 쓰는 방법 (두 번째 이야기)
11362정성태12/26/20194666오류 유형: 428. 윈도우 업데이트 KB4048953 - 0x800705b4 [2]
11361정성태11/22/20174694오류 유형: 427. 이벤트 로그 - Filter Manager failed to attach to volume '\Device\HarddiskVolume??' 0xC03A001C
11360정성태11/22/20176037오류 유형: 426. 이벤트 로그 - The kernel power manager has initiated a shutdown transition.
11359정성태11/16/20176082오류 유형: 425. 윈도우 10 Version 1709 (OS Build 16299.64) 업그레이드 시 발생한 문제 2가지
... 31  32  33  34  35  36  [37]  38  39  40  41  42  43  44  45  ...