一:背景
1. 讲故事
在dump分析的旅程中也会碰到一些让我无法解释的灵异现象,追过这个系列的朋友应该知道,上一篇我聊过 宇宙射线 导致的程序崩溃,后来我又发现了一例,而这一例恰恰是高铁的 列控连锁一体化 程序,所以更加让我确定这是由于 电离辐射 干扰了计算机的 数字信号 导致程序的bit翻转,而这一篇也是一个我认为的 灵异现象,拿出来给朋友们分享一下。
前段时间有位朋友找到我,说他的程序会偶发性崩溃,一直找不到原因很纠结,看我在这一块非常有经验让我帮忙看一下怎么回事,既然是有备而来自然dump也准备好了,接下来开始分析之旅吧。
二:WinDbg 分析
1. 为什么会崩溃
要想分析崩溃的原因还得windbg自带的自动化分析命令 !analyze -v ,输出如下:
0:117> !analyze -v
*******************************************************************************
* *
* Exception Analysis *
* *
*******************************************************************************
CONTEXT: (.ecxr)
rax=0000000000000001 rbx=0000000000000000 rcx=0000000000000002
rdx=000000000005001b rsi=000000000000000e rdi=00000161b1b8c718
rip=00007ffdd0961abd rsp=000000341547b370 rbp=000000341547b250
r8=0000000000000005 r9=000000000000003d r10=0000000000000000
r11=7007f0b8d350316a r12=0000000000000000 r13=0000000000000003
r14=000000341547b5c0 r15=0000000000000001
iopl=0 nv up ei pl nz na pe nc
cs=0033 ss=002b ds=002b es=002b fs=0053 gs=002b efl=00000202
clr!_report_gsfailure+0x1d:
00007ffd`d0961abd cd29 int 29h
Resetting default scope
EXCEPTION_RECORD: (.exr -1)
ExceptionAddress: 00007ffdd0961abd (clr!_report_gsfailure+0x000000000000001d)
ExceptionCode: c0000409 (Security check failure or stack buffer overrun)
ExceptionFlags: 00000001
NumberParameters: 1
Parameter[0]: 0000000000000002
Subcode: 0x2 FAST_FAIL_STACK_COOKIE_CHECK_FAILURE
SYMBOL_NAME: clr!_report_gsfailure+1d
...
卦中有一句话叫 Security check failure or stack buffer overrun,浅层意思就是:安全检查失败或缓冲区溢出,行话就是:栈上的cookie遭到了破坏。可能有些朋友对 cookie 不是很了解,这个cookie非web的cookie,而是在方法栈上藏的一个随时值,在方法的退出前会检查这个值有没有被破坏,目的就是防止有人无意或者恶意攻击线程栈,如果遭到破坏,会触发 int 29 即 nt!KiRaiseSecurityCheckFailure 函数让程序快速硬性崩溃。
如果有些朋友不明白,画个图如下:
2. cookie 被破坏了吗
既然说 cookie 被破坏了,说明有栈溢出的情况,那到底溢出了什么东西呢?这需要分析崩溃处附近的汇编代码才能知道,接下来使用 .ecxr ; k 3 切到崩溃前的上下文。
0:117> .ecxr ; k 3
rax=0000000000000001 rbx=0000000000000000 rcx=0000000000000002
rdx=000000000005001b rsi=000000000000000e rdi=00000161b1b8c718
rip=00007ffdd0961abd rsp=000000341547b370 rbp=000000341547b250
r8=0000000000000005 r9=000000000000003d r10=0000000000000000
r11=7007f0b8d350316a r12=0000000000000000 r13=0000000000000003
r14=000000341547b5c0 r15=0000000000000001
iopl=0 nv up ei pl nz na pe nc
cs=0033 ss=002b ds=002b es=002b fs=0053 gs=002b efl=00000202
clr!_report_gsfailure+0x1d:
00007ffd`d0961abd cd29 int 29h
# Child-SP RetAddr Call Site
00 00000034`1547b370 00007ffd`d0977900 clr!_report_gsfailure+0x1d
01 00000034`1547b3b0 00007ffd`d097816d clr!RtlAllocateLUnicodeString+0xe0
02 00000034`1547b420 00007ffd`d09e1d06 clr!RtlDuplicateLUnicodeString+0x8d
...
卦中的信息很丰富,说 clr 在 RtlAllocateLUnicodeString 函数退出阶段时检查 cookie 被破坏了,继而程序快速崩溃,接下来需要反编译 RtlAllocateLUnicodeString 函数,简化后如下:
0:117> uf clr!RtlAllocateLUnicodeString
clr!RtlAllocateLUnicodeString:
00007ffd`d0977820 48895c2418 mov qword ptr [rsp+18h],rbx
00007ffd`d0977825 55 push rbp
00007ffd`d0977826 56 push rsi
00007ffd`d0977827 57 push rdi
00007ffd`d0977828 488bec mov rbp,rsp
00007ffd`d097782b 4883ec50 sub rsp,50h
00007ffd`d097782f 488b05d2777600 mov rax,qword ptr [clr!_security_cookie (00007ffd`d10df008)]
00007ffd`d0977836 4833c4 xor rax,rsp
00007ffd`d0977839 488945f8 mov qword ptr [rbp-8],rax
00007ffd`d097783d 488bfa mov rdi,rdx
00007ffd`d0977840 488bf1 mov rsi,rcx
00007ffd`d0977843 c745f0e50000c0 mov dword ptr [rbp-10h],0C00000E5h
00007ffd`d097784a 33db xor ebx,ebx
00007ffd`d097784c 4885d2 test rdx,rdx
00007ffd`d097784f 745f je clr!RtlAllocateLUnicodeString+0x90 (00007ffd`d09778b0) Branch
...
00007ffd`d09778f2 8bc3 mov eax,ebx
00007ffd`d09778f4 488b4df8 mov rcx,qword ptr [rbp-8]
00007ffd`d09778f8 4833cc xor rcx,rsp
00007ffd`d09778fb e820a1feff call clr!_security_check_cookie (00007ffd`d0961a20)
00007ffd`d0977900 488b9c2480000000 mov rbx,qword ptr [rsp+80h]
00007ffd`d0977908 4883c450 add rsp,50h
00007ffd`d097790c 5f pop rdi
00007ffd`d097790d 5e pop rsi
00007ffd`d097790e 5d pop rbp
00007ffd`d097790f c3 ret
卦中的信息量还是非常大的,我们通读下汇编代码理解下 安全检查 中的一些基本元素以及逻辑是什么?步骤大概如下:
_security_cookie
这个是 cookie 种子,可以用 dp 给捞出来,即下面的 0000d9998c879750 。
0:117> dp clr!_security_cookie L1
00007ffd`d10df008 0000d999`8c879750
xor rax,rsp
将 cookie 种子和当前方法的栈顶指针rsp异或一下,目的就是做一个和栈帧相关的随机值,当前的rsp即k上的000000341547b3b0 ,用 windbg 计算之后为:
0:117> ? 00000034`1547b3b0 ^ 0000d999`8c879750
Evaluate expression: 239339632076000 = 0000d9ad`99c024e0
qword ptr [rbp-8],rax
将异或后的 安全值 塞到 rbp-8 的栈位置,这里的 rbp 由上面的汇编语句 mov rbp,rsp 赋值的,因为上面有三个push加一个call,所以rbp应该退掉4个0x8,最后计算的结果为栈位置000000341547b3f8 存的就是安全值,下面的输出也可以确认。
0:117> ? 00000034`1547b420-0x8-0x8-0x8-0x8
Evaluate expression: 223695320064 = 00000034`1547b400
0:117> dp 00000034`1547b400-8 L1
00000034`1547b3f8 0000d9ad`99c024e0
clr!_security_check_cookie
在方法退出时需要通过 _security_check_cookie 方法来检查cookie是否损坏,核心代码为:
clr!RtlAllocateLUnicodeString+0xd2:
00007ffd`d09778f4 488b4df8 mov rcx,qword ptr [rbp-8]
00007ffd`d09778f8 4833cc xor rcx,rsp
00007ffd`d09778fb e820a1feff call clr!_security_check_cookie (00007ffd`d0961a20)
经过 windbg 计算 rcx=0000d9998c879750 ,即 _security_cookie 值。
0:117> dp 00000034`1547b400-8 L1
00000034`1547b3f8 0000d9ad`99c024e0
0:117> ? 0000d9ad`99c024e0 ^ 00000034`1547b3b0
Evaluate expression: 239253510920016 = 0000d999`8c879750
接下来拿着 rcx= 0000d9998c879750 去反汇编下 _security_check_cookie 函数,简化后如下:
0:117> uf clr!_security_check_cookie
00007ffd`d0961a20 483b0de1d57700 cmp rcx,qword ptr [clr!_security_cookie (00007ffd`d10df008)]
00007ffd`d0961a27 7510 jne clr!_security_check_cookie+0x19 (00007ffd`d0961a39)
00007ffd`d0961a29 48c1c110 rol rcx,10h
00007ffd`d0961a2d 66f7c1ffff test cx,0FFFFh
00007ffd`d0961a32 7501 jne clr!_security_check_cookie+0x15 (00007ffd`d0961a35)
00007ffd`d0961a34 c3 ret
00007ffd`d0961a35 48c1c910 ror rcx,10h
00007ffd`d0961a39 e962000000 jmp clr!_report_gsfailure (00007ffd`d0961aa0)
00007ffd`d0961aa0 48894c2408 mov qword ptr [rsp+8],rcx
00007ffd`d0961aa5 4883ec38 sub rsp,38h
00007ffd`d0961aa9 b917000000 mov ecx,17h
00007ffd`d0961aae ff15e4fa5a00 call qword ptr [clr!_imp_IsProcessorFeaturePresent (00007ffd`d0f11598)]
00007ffd`d0961ab4 85c0 test eax,eax
00007ffd`d0961ab6 7407 je clr!_report_gsfailure+0x1f (00007ffd`d0961abf)
00007ffd`d0961ab8 b902000000 mov ecx,2
00007ffd`d0961abd cd29 int 29h
代码逻辑非常简单,还原成 C 大概如下:
void __fastcall _security_check_cookie(uintptr_t stackcookie)
{
if ((stackcookie == __security_cookie) && (stackcookie高四位 == "0000")) {
return;
}
else {
_report_gsfailure()
}
}
从C的逻辑看我们的 stackcookie=0000d9998c879750 完全满足 if 条件,但不知道为什么会走到这个 else 里面去,无法想象。。。所以定性为 灵异事件!!!
4. 故事后续
把所有的值都推算完了之后,在不可能走到 else 的情况下还是走到了 else,这个真的很让人无语+费解,过了几天找朋友确认的时候,朋友又反馈了一个信息,说电脑上的其他程序也会遇到这种情况,让客户重装操作系统,目前还没遇到问题。
所以我觉得这个问题可能是 操作系统层面 的问题,或者是 硬件层面 的问题,而且程序的异常是在 clr 层面,用户代码是无法干涉的,程序中也没有做 Pinvoke。
三:总结
一个是辐射导致的bit位翻转,一个是不可能走到else的地方走了else,各个奇奇怪怪的事情,让我的高级调试之旅丰富多彩,大家觉得这个崩溃还有其他的可能性吗?期待大家的留言。