lain;Wired Layer - Research for windows layer

크리에이티브 커먼즈 라이선스

이 저작물은 크리에이티브 커먼즈 코리아 저작자표시-변경금지 2.0 대한민국 라이선스에 따라 이용하실 수 있습니다.

뒷부분을 급하게 수습한...

크리에이티브 커먼즈 라이선스

이 저작물은 크리에이티브 커먼즈 코리아 저작자표시-변경금지 2.0 대한민국 라이선스에 따라 이용하실 수 있습니다.

크리에이티브 커먼즈 라이선스

이 저작물은 크리에이티브 커먼즈 코리아 저작자표시-변경금지 2.0 대한민국 라이선스에 따라 이용하실 수 있습니다.

TDI가 Windows 7까지 지원하고 Windows 8에서는 삭제 될 줄 알았는데 Windows 8에서도 지원을 하는군요.

빌어먹을 MS에서는 Windows 8에서 지원을 안 할꺼 같아서 WFP ( Windows Filtering Platform ) 로 패킷 필터링을 만들고 Windows XP는 TDI로 필터 드라이버를 만들고 있었는데 그냥 Windows XP용으로 만든걸 그대로 써도 상관이 없겠습니다.

WFP는 약간의 버그가 좀 있고 TDI Filter 에서 쉽게 되었던 부분을 WFP로 구현하려면 꽤나 많은 것들을 공부해야 되기 때문에 드라이버 개발자들이 WFP쪽으로 개발을 할려고 하지 않아서 그런 것 같습니다. 물론 MS측에서는 하위 호환성을 매우 중요시 여기기 때문에 그런 것도 있구요.

아래처럼 DeviceTree를 통해 TDI가 존재함을 볼 수 있습니다.

 


참고 :

Windows Driver Kit (WDK) 8 Consumer Preview 에서 아래와 같은 이슈사항이 있습니다.

TDI Filters and LSPs cannot be included in a certification submission: Network TDI filters and LSPs cannot be used by either kernel-mode or user-mode software or drivers. You cannot include TDI filters or LSPs in your Windows 8 Consumer Preview certification submission.
Workaround: Replace your TDI filter or LSP with WFP (Windows Filtering Platform).  

위에 내용은 TDI Filter 사용 시 윈도우즈 인증을 받을 수 없다라는 것을 의미하며 윈도우즈 인증을 받을려면 윈도우즈 필러링 플랫폼 ( WFP )을 사용하라는 내용입니다.

여기서 말하는 윈도우즈 인증이랑 이전에 알려진 윈도우즈 로고 인증을 의미합니다.
(  The Windows Certification Program (previously known as the Windows Logo Program) - http://msdn.microsoft.com/en-us/library/windows/hardware/gg463010.aspx )

크리에이티브 커먼즈 라이선스

이 저작물은 크리에이티브 커먼즈 코리아 저작자표시-변경금지 2.0 대한민국 라이선스에 따라 이용하실 수 있습니다.

아시는 분은 다 아시겠지만 아래처럼 깔끔하게 바꼈습니다.
vmware 에서 캡쳐하는 바람에 글자가 매우 작게 나오네요.

 

크리에이티브 커먼즈 라이선스

이 저작물은 크리에이티브 커먼즈 코리아 저작자표시-변경금지 2.0 대한민국 라이선스에 따라 이용하실 수 있습니다.

C 런타임 문자열 함수를 쓰면은 드라이버안에 문자열 함수가 임베디드 되어서 해당 함수를 호출할 수 있다고 생각 할 수도 있는데 인라인으로 들어가는 경우도 있고 그렇지 않은 경우가 있습니다.

그렇지 않은 경우에는 일반적으로 ntoskrnl.exe에 익스포트되어 있는 함수를 쓰게 됩니다. 이 때 IRQL에 상관없이 쓸 수 있는 함수와 그렇지 않은 함수가 있는데 예를 들어, toupper 함수에 경우 ( 대문자로 변경해주는 함수 ) DISPATCH_LEVEL 이상에서 사용할 경우 블루 스크린이 뜰 수 있습니다.

toupper 함수에 경우 ntoskrnl.exe 에서 익스포트되며, Windows 7 기준으로 논페이지드 메모리에 위치하는 함수입니다. 그리고 다음과 같이 내부적으로 동작합니다.

크리에이티브 커먼즈 라이선스

이 저작물은 크리에이티브 커먼즈 코리아 저작자표시-변경금지 2.0 대한민국 라이선스에 따라 이용하실 수 있습니다.

윈도우즈 커널이나 드라이버에 대한 설명을 나온 책을 보면 항상 IRQL 에 따른 스레드 선점에 대한 얘기가 나오는데 다음과 같은 내용은 오해를 불러일으킬 소지가 있습니다.

"낮은 수준의 IRQL에서 실행하는 코드(스레드)는 높은 수준의 IRQL의 작업이 발생하게 되면 항상 선점된다."
"상승 된 IRQL에 코드는 상승 된 IRQL보다 낮은 레벨에 코드가 실행되는 것을 블록시킨다."

그러나 위에 사항들은 예외적일 수 있습니다.

예를 들어, 스레드 A가 APC_LEVEL로 실행중이고, 스레드 B는 이전에 PASSIVE_LEVEL에서 실행중이었다라고 가정합니다. 그렇다면 스레드 A가 APC_LEVEL로 실행중이기 때문에 스레드 B보다 IRQL이 높으므로 스레드A가 PASSIVE_LEVEL로 IRQL이 내려가지 않는 이상은 스레드 B에 코드는 실행되지 않을 것으로 예상 할 수 있습니다.

하지만 그렇지 않습니다. 스레드 A가 APC_LEVEL로 실행중이더라도, 커널 스케쥴러에 의해 스레드 B를 스케쥴링하고 PASSIVE_LEVEL로 실행하게 됩니다. 즉, APC_LEVEL로 실행중이던 스레드 A는 PASSIVE_LEVEL로 실행중인 스레드 B에 선점당하게 됩니다.

( 위에 사항들은 멀티 CPU일 경우를 말하는것이 아닙니다. 싱글 CPU도 마찬가지입니다. )

이렇게 되는 이유는 IRQL이 프로세서 종속적인 IRQL과 스레드 종속적인 IRQL로 나뉘어지기 때문입니다.

프로세서 종속적인 IRQL은 DISPATCH_LEVEL 이상에 IRQL을 의미합니다. 이 경우에는 우리가 이미 알고 있는 IRQL에 선점 및 블록에 대한 규칙과 똑같습니다.

스레드 종송적인 IRQL은 DISPATCH_LEVEL 보다 낮은 IRQL을 의미합니다.
APC_LEVEL, PASSIVE_LEVEL IRQL이 있습니다. ( 시스템 내부적으로 PASSIVE_LEVEL width critical region 이라는 가상에 IRQL도 있습니다. guarded region 이라고 Windows 2003 Server부터 추가 된 부분도 있는데 참고용으로 적어둡니다.)

스레드 종속적이다라는 말은 현재 스레드에 한해서만 영향을 끼치는 IRQL라는 의미입니다. 예를 들어, 스레드 A가 PASSIVE_LEVEL로 실행중일 때 스레드 A에 APC 루틴이 실행되어야 할 경우 스레드 A는 APC에 의해 선점 될 수 있습니다. 이 때 선점당한다라는 말은 다른 스레드에 선점당한다는것이 아니라 자기자신에 스레드에게 선점당한다는 의미입니다. 스레드 A는 스레드 A에 APC 루틴에 의해 선점당한 상황이 발생하게 된다는 것을 의미합니다.

스레드 종송적인 IRQL이 구현될 수 있는 것은 스레드 스케쥴러와 연관이 있습니다.

MS에 "Scheduling, Thread Context, and IRQL"라는 문서에 다음과 같은 문장이 있습니다.

The thread scheduler considers only thread priority, and not IRQL, when preempting a thread. If a thread running at IRQL=APC_LEVEL blocks, the scheduler might select a new thread for the processor that was previously running at PASSIVE_LEVEL.

스레드 스케쥴러는 오직 스레드에 우선순위만 고려할 뿐 IRQL은 전혀 고려하지 않습니다. 어떤 스레드가 APC_LEVEL로 실행중이더라도 스케쥴러는 이전에 PASSIVE_LEVEL로 실행중인 스레드로 스케쥴링 할 수 있습니다.

또한 스레드 스케쥴러는 DISPATCH_LEVEL에서 동작하게 됩니다. ( 그래야 원하는 시점에 DISPATCH_LEVEL보다 낮은 스레드를 선점해서 다른 스레드로 스케쥴링 할 수 있겠죠. )


 

크리에이티브 커먼즈 라이선스

이 저작물은 크리에이티브 커먼즈 코리아 저작자표시-변경금지 2.0 대한민국 라이선스에 따라 이용하실 수 있습니다.

기본적인 부분들에 대해서 정리해둡니다.

-  KeAcquireSpinLock 으로 락을 획득 후, 페이지드 메모리에 접근하면 안됩니다. 이는 IRQL이 DISPATCH_LEVEL로 상승하기 때문입니다. ( 논페이지드 메모리에만 접근가능합니다. )

-  KeAcquireSpinLock 으로 락을 획득 후, 외부 함수를 호출 할 때, 외부 함수가 페이지드 된 메모리에 접근하거나 예외를 발생시켜선 안됩니다.

-  KeAcquireSpinLock 으로 락을 획득 후, 락을 획득한 함수가 재귀호출되어선 안됩니다.

-  KeAcquireSpinLock 으로 락을 획득 후, KeReleaseSpinLock로 락을 해제하기까지 25 마이크로 세컨드 이상 걸리면 안됩니다. ( 강제사항은 아지만 DISPATCH_LEVEL에 너무 오랫동안 머물러 있어서는 안된다라는 말입니다. )

- 자체적으로 SpinLock을 만들어서 사용하지 않고 WDK 함수를 사용하는 것이 좋습니다. 예를 들어, KeAcquireSpinLock  함수는 DISPATCH_LEVEL로 IRQL를 올리게 되는데, 만약 일반적인 스핀락을 자체적으로 구현하고 IRQL를 올리지 않을 경우 다음과 같은 시나리오로 데드락에 빠질 수 있습니다.

싱글 CPU를 예로 들자면, PASSIVE_LEVEL에 스레드에서 자체적으로 구현한 스핀락을 획득하고 코드가 실행 중에 DPC 루틴이 실행되었고 DPC 루틴에서 자체적으로 구현한 스핀락을 획득하려고 할 경우 현재 DISPATCH_LEVEL에서 코드가 실행중이기 때문에, PASSIVE_LEVEL에서 얻은 스핀락을 해제하기 위한 스레드가 스레드 스케줄링이 되지 않기 때문에 데드락에 걸립니다.

크리에이티브 커먼즈 라이선스

이 저작물은 크리에이티브 커먼즈 코리아 저작자표시-변경금지 2.0 대한민국 라이선스에 따라 이용하실 수 있습니다.

참고사항 : 운영체제는 Windows 7 x86 SP1 입니다.

ObRegisterCallbacks 함수는 Windows Vista SP1이상에서 추가 된 커널 오브젝트 생성에 대한 필터링을 할 수 있는 함수입니다. ( 현재는 프로세스와 스레드에 대한 오브젝트만 지원하고 있습니다. )

ObRegisterCallbacks 함수를 이용하면, 단순한 필터링만 하는것이 아니라, 특정 프로세스를 종료하지 못 하게 한다던지 할수가 있는데 해당 함수를 통해 필터링 시 콜백함수가 언제 호출되는지에 대한 정보가 없어서 알아보았습니다. 직접 ObRegisterCallbacks 함수를 사용하는 코드를 작성하여 테스트 할 수 있으나 서명등에 압박이 있어서 이미 이를 사용하고 있는 제품중에 Microsoft Security Essentials 라는 백신이 있어서 해당 백신을 통해서 알아보도록 합니다.

Microsoft Security Essentials ( 이하 MSE로 명칭 ) 를 다음과 같이 설치할 때 nt!ObRegisterCallbacks 에 브레이크 포인터를 걸면 브레이크 포인트가 걸립니다.

크리에이티브 커먼즈 라이선스

이 저작물은 크리에이티브 커먼즈 코리아 저작자표시-변경금지 2.0 대한민국 라이선스에 따라 이용하실 수 있습니다.

EPROCESS 구조체를 확인 후 EPROCESS 구조체에 직접 접근해서 PEB를 가져온다고 했을 경우 EPROCESS 구조체에 타입을 알기 위해서 일반적으로 다음과 같은 명령을 사용합니다.

dt _EPROCESS

그러면 다음과 같이 출력이 되는데 ( Windows 7 x64 SP1 )

크리에이티브 커먼즈 라이선스

이 저작물은 크리에이티브 커먼즈 코리아 저작자표시-변경금지 2.0 대한민국 라이선스에 따라 이용하실 수 있습니다.