Microsoft MVP성태의 닷넷 이야기
디버깅 기술: 127. windbg - .NET x64 EXE의 EntryPoint [링크 복사], [링크+제목 복사]
조회: 1670
글쓴 사람
홈페이지
첨부 파일
 

windbg - .NET x64 EXE의 EntryPoint

지난 글에서,

windbg - .NET x86 CLR2/CLR4 EXE의 EntryPoint
; https://www.sysnet.pe.kr/2/0/11861

x86 .NET EXE에 대해 EntryPoint를 실습해 봤는데요. 그럼 x64에서는 어떻게 될까요? 이게 좀 묘합니다. ^^

일단, windbg에서 "bp $exentry"로 걸면 다음과 같은 오류와 함께 디버깅이 진행되지 않습니다.

0:000> bp $exentry
*** WARNING: Unable to verify checksum for ConsoleApp1.exe

0:000> g
Unable to insert breakpoint 0 at 00000212`f3710000, Win32 error 0n998
    "Invalid access to memory location."
The breakpoint was set with BP.  If you want breakpoints
to track module load/unload state you must use BU.
bp0 at 00000212`f3710000 failed
WaitForEvent failed
ntdll!LdrpDoDebuggerBreak+0x31:
00007ff8`970e2cbd eb00            jmp     ntdll!LdrpDoDebuggerBreak+0x33 (00007ff8`970e2cbf)

위와 같은 상황이 되면 아무리 g 키를 눌러도 진행이 안 되므로 설정한 bp를 삭제해야만 합니다. 그런데, windbg가 찾아낸 $exentry의 위치가 재미있습니다.

0:000> u $exentry
ConsoleApp1!Main [C:\temp\ConsoleApplication1\ConsoleApp1\Program.cs @ 12]:
00000001`40000000 4d5a            pop     r10
00000001`40000002 90              nop
00000001`40000003 0003            add     byte ptr [rbx],al
00000001`40000005 0000            add     byte ptr [rax],al
00000001`40000007 000400          add     byte ptr [rax+rax],al
00000001`4000000a 0000            add     byte ptr [rax],al
00000001`4000000c ff              ???
00000001`4000000d ff00            inc     dword ptr [rax]

보는 바와 같이 Native가 아닌 .NET 수준에서의 Main 함수 진입점을 가리키는 걸로 나옵니다. 즉, 저 위치는 기계어가 아니라 .NET Main 함수의 Body 위치라고 봐야 합니다. 더욱 재미있는 것은 $exentry의 주솟값이 모듈의 로딩 주소와 동일하다는 것입니다.

0:000> lm
start             end                 module name
00000001`40000000 00000001`40006000   ConsoleApp1   (pdb symbols)          C:\temp\ConsoleApplication1\x64\Debug\ConsoleApp1.pdb
00007ff8`80a60000 00007ff8`80ac4000   MSCOREE    (deferred)             
00007ff8`935b0000 00007ff8`93843000   KERNELBASE   (deferred)             
00007ff8`96c50000 00007ff8`96d03000   KERNEL32   (deferred)             
00007ff8`97010000 00007ff8`971fd000   ntdll      (pdb symbols)          e:\symbols\ntdll.pdb\BF569FC564FA51D4BFE7B5E47D65792D1\ntdll.pdb

실제로 .NET EXE의 PE 헤더에 있는 "AddressOfEntryPoint"의 값은 0입니다. 이 값이 0이라는 것은 진입점이 없다는 것을 의미합니다.




WinDbg로 조사해보면, x64 CLR2 EXE인 경우 x86에서와 마찬가지로 KERNEL32!BaseThreadInitThunk+0xe에서 멈추는 것을 확인할 수 있습니다.

KERNEL32!BaseThreadInitThunk:
    00007ff8`96c681e0 4883ec28        sub     rsp,28h
    00007ff8`96c681e4 85c9            test    ecx,ecx
    00007ff8`96c681e6 7515            jne     KERNEL32!BaseThreadInitThunk+0x1d (00007ff8`96c681fd)
    00007ff8`96c681e8 498bc8          mov     rcx,r8
    00007ff8`96c681eb 488bc2          mov     rax,rdx
    00007ff8`96c681ee ff1574290600    call    qword ptr [KERNEL32!_guard_dispatch_icall_fptr (00007ff8`96ccab68)] ds:00007ff8`96ccab68={KERNEL32!guard_dispatch_icall_nop (00007ff8`96c73310)}

위의 상태에서 rax == 7ff880a6a510으로 나오고, _guard_dispatch_icall_fptr의 코드는 그 rax로 JMP하는 역할만 합니다.

KERNEL32!guard_dispatch_icall_nop:
00007ff8`96c73310 ffe0            jmp     rax {MSCOREE!CorExeMain_Exported (00007ff8`80a6a510)}

그러니까, 윈도우 시스템은 .NET EXE의 EntryPoint를 7ff880a6a510로 판단하고 있는 것입니다. 왜 이 주소가 구해졌는지 x64의 경우 이해가 안 됩니다. 그나마 x86의 경우에는 mscoree.dll에 대한 참조를 Import Directory에 가지고 있어서 실행 시 CorExeMain_Exported에 대한 점프 주소를 가지고 있었지만, x64는 mscoree.dll에 대한 참조 조차 가지고 있습니다. 다시 말해 표면상 PE 파일 포맷을 지키고는 있지만 내용면에서 보면 일반 데이터 파일과 다를 바가 없는 것입니다.

그렇다면 x64의 경우 윈도우 시스템 측의 로더가 .NET 모듈임을 인식하는 걸까요? 아마도 그럴 것 같은데... 혹시 아시는 분이 있다면 덧글 부탁드립니다. ^^




[이 글에 대해서 여러분들과 의견을 공유하고 싶습니다. 틀리거나 미흡한 부분 또는 의문 사항이 있으시면 언제든 댓글 남겨주십시오.]

[연관 글]





[최초 등록일: ]
[최종 수정일: 4/9/2019 ]

Creative Commons License
이 저작물은 크리에이티브 커먼즈 코리아 저작자표시-비영리-변경금지 2.0 대한민국 라이센스에 따라 이용하실 수 있습니다.
by SeongTae Jeong, mailto:techsharer@outlook.com

비밀번호

댓글 쓴 사람
 




1  2  3  4  5  [6]  7  8  9  10  11  12  13  14  15  ...
NoWriterDateCnt.TitleFile(s)
12163정성태2/27/2020442.NET Framework: 899. 익명 함수를 가리키는 delegate 필드에 대한 직렬화 문제
12162정성태2/28/2020532디버깅 기술: 166. C#에서 만든 COM 객체를 C/C++로 P/Invoke Interop 시 메모리 누수(Memory Leak) 발생파일 다운로드2
12161정성태2/26/2020254오류 유형: 597. manifest - The value "x64" of attribute "processorArchitecture" in element "assemblyIdentity" is invalid.
12160정성태2/26/2020321개발 환경 구성: 469. Reg-free COM 개체 사용을 위한 manifest 파일 생성 도구 - COMRegFreeManifest
12159정성태2/26/2020243오류 유형: 596. Visual Studio - The project needs to include ATL support
12158정성태2/26/2020399디버깅 기술: 165. C# - Marshal.GetIUnknownForObject/GetIDispatchForObject 사용 시 메모리 누수(Memory Leak) 발생파일 다운로드1
12157정성태2/27/2020392디버깅 기술: 164. C# - Marshal.GetNativeVariantForObject 사용 시 메모리 누수(Memory Leak) 발생 및 해결 방법파일 다운로드1
12156정성태2/25/2020279오류 유형: 595. LINK : warning LNK4098: defaultlib 'nafxcw.lib' conflicts with use of other libs; use /NODEFAULTLIB:library
12155정성태2/25/2020310오류 유형: 594. Warning NU1701 - This package may not be fully compatible with your project
12154정성태2/25/2020258오류 유형: 593. warning LNK4070: /OUT:... directive in .EXP differs from output filename
12153정성태7/15/2020391.NET Framework: 898. Trampoline을 이용한 후킹의 한계파일 다운로드1
12152정성태2/23/2020352.NET Framework: 897. 실행 시에 메서드 가로채기 - CLR Injection: Runtime Method Replacer 개선 - 세 번째 이야기(Trampoline 후킹)파일 다운로드1
12151정성태2/23/2020386.NET Framework: 896. C# - Win32 API를 Trampoline 기법을 이용해 C# 메서드로 가로채는 방법 - 두 번째 이야기 (원본 함수 호출)파일 다운로드1
12150정성태2/23/2020402.NET Framework: 895. C# - Win32 API를 Trampoline 기법을 이용해 C# 메서드로 가로채는 방법파일 다운로드1
12149정성태2/20/2020458.NET Framework: 894. eBEST C# XingAPI 래퍼 - 연속 조회 처리 방법 [1]
12148정성태2/23/2020507디버깅 기술: 163. x64 환경에서 구현하는 다양한 Trampoline 기법
12147정성태2/27/2020427디버깅 기술: 162. x86/x64의 기계어 코드 최대 길이
12146정성태2/18/2020482.NET Framework: 893. eBEST C# XingAPI 래퍼 - 로그인 처리파일 다운로드1
12145정성태2/18/2020430.NET Framework: 892. eBEST C# XingAPI 래퍼 - Sqlite 지원 추가파일 다운로드1
12144정성태2/23/2020425.NET Framework: 891. 실행 시에 메서드 가로채기 - CLR Injection: Runtime Method Replacer 개선 - 두 번째 이야기파일 다운로드1
12143정성태2/13/2020312.NET Framework: 890. 상황별 GetFunctionPointer 반환값 정리 - x64파일 다운로드1
12142정성태2/27/2020431.NET Framework: 889. C# 코드로 접근하는 MethodDesc, MethodTable파일 다운로드1
12141정성태2/10/2020528.NET Framework: 888. C# - ASP.NET Core 웹 응용 프로그램의 출력 가로채기 [1]파일 다운로드1
12140정성태2/10/2020380.NET Framework: 887. C# - ASP.NET 웹 응용 프로그램의 출력 가로채기파일 다운로드1
12139정성태2/9/2020585.NET Framework: 886. C# - Console 응용 프로그램에서 UI 스레드 구현 방법
12138정성태2/9/2020708.NET Framework: 885. C# - 닷넷 응용 프로그램에서 Sqlite 사용 [3]파일 다운로드1
1  2  3  4  5  [6]  7  8  9  10  11  12  13  14  15  ...