聊一聊 .NET高级调试 内核模式堆泄露

一：背景

1. 讲故事

前几天有位朋友找到我，说他的机器内存在不断的上涨，但在任务管理器中查不出是哪个进程吃的内存，特别奇怪，截图如下：

在我的分析旅程中都是用户态模式的内存泄漏，像上图中的异常征兆已经明确告诉你了，不是用户态程序吃的内存，那就是内核态程序吃的，比如：

  • 某些驱动程序
  • 操作系统

从概率上来说一般都是某些第三方程序内存泄露导致的，这一篇我们就来聊一聊这种问题该如何解决。

二：内核模式堆泄露分析

1. 驱动程序是如何分配内存的

相信有很多朋友都知道，用户态的程序是直接或者间接的调用 VirtualAlloc 方法来向操作系统要内存，包括 C# 的 GC 堆也是一样，它的方法签名如下：


LPVOID VirtualAlloc([in, optional] LPVOID lpAddress,[in]           SIZE_T dwSize,[in]           DWORD  flAllocationType,[in]           DWORD  flProtect
);

那内核中的驱动程序是如何向操作系统要内存的呢？一般都是调用 ExAllocatePool2 方法来要内存的，签名如下：


DECLSPEC_RESTRICT PVOID ExAllocatePool2(POOL_FLAGS Flags,SIZE_T     NumberOfBytes,ULONG      Tag
);

上面有两个参数要详细解释一下：

  • Flags 参数

一般用的多的就是 POOL_FLAG_NON_PAGED 和 POOL_FLAG_PAGED 两种，前者表示分配的内存是需要永久驻留内存，不可以交换到硬盘的。后者分配的内存是可以交换到硬盘的。

  • Tag 参数

这个参数的本意就是方便日后洞察内存泄露的，它强行让一块内存和这个 Tag(4byte的ascii 字符串) 做了强绑定，到时候通过这个 tag 就知道是谁分配的内存。

2. 制造内核模式堆泄露

为了能够让驱动程序泄露，可以使用微软提供的 NotMyFault 工具，这个工具利用 myfault.sys 驱动不断的向操作系统分配内存。官方网址为：https://learn.microsoft.com/zh-cn/sysinternals/downloads/notmyfault

打开 myfault 工具然后输入 40M/s 的泄露，并分配在非换页池中，同时配置下内核态转储dump， 代码和截图参考如下：


ExAllocatePool2(POOL_FLAG_NON_PAGED,40*1024*1024,"Leak");

在泄露的过程中，通过 Process Explorer 很明显的发现提交了 6.7G 的内存，其中有 4.9G 是在 NonPaged 中，即通过上图中的 POOL_FLAG_NON_PAGED 标记分配的，截图如下：

接下来在 MyFault 上切换到 Crash 选项卡，强行让操作系统蓝屏来生成 dump 文件。

3. dump 分析

拿到dump后，先通过 !vm 观察下操作系统级的虚拟内存的分布情况。


3: kd> !vm
...
Physical Memory:          2069421 (    8277684 Kb)
Available Pages:           445015 (    1780060 Kb)
ResAvail Pages:            707292 (    2829168 Kb)
Locked IO Pages:                0 (          0 Kb)
Free System PTEs:      4295052431 (17180209724 Kb)
...
Modified Pages:             11479 (      45916 Kb)
Modified PF Pages:          11479 (      45916 Kb)
Modified No Write Pages:        0 (          0 Kb)
NonPagedPool Usage:       1219892 (    4879568 Kb)
NonPagedPoolNx Usage:       24512 (      98048 Kb)
NonPagedPool Max:      4294967296 (17179869184 Kb)
PagedPool Usage:            32907 (     131628 Kb)
PagedPool Maximum:     4294967296 (17179869184 Kb)
...
NonPagedPool Commit:      1246469 (    4985876 Kb)
...
Sum System Commit:        1409562 (    5638248 Kb)
Total Private:             279673 (    1118692 Kb)********** Sum of individual system commit + Process commit exceeds overall commit by 1952 Kb ? ********
Committed pages:          1688747 (    6754988 Kb)
Commit limit:             4166573 (   16666292 Kb)

从卦中的 NonPagedPool Usage 指标可以看到，当前的 非换页池 占用了 4.8G 内存，总计 121w 的内存页。

接下来就是要深挖下 非换页池 ，看看到底都是什么 Tag 分配的，可以使用 !poolused 2 命令。


3: kd> !poolused 2
....Sorting by NonPaged Pool ConsumedNonPaged                  PagedTag     Allocs         Used     Allocs         UsedLeak       119   4991221760          0            0	UNKNOWN pooltag 'Leak', please update pooltag.txtConT       238     14499840          0            0	UNKNOWN pooltag 'ConT', please update pooltag.txtKETR     16410      8117664          0            0	UNKNOWN pooltag 'KETR', please update pooltag.txtEtwB       196      7565568          2       131072	Etw Buffer , Binary: nt!etw2872         6      5660864          0            0	UNKNOWN pooltag '2872', please update pooltag.txt287R      1026      4183040          0            0	UNKNOWN pooltag '287R', please update pooltag.txtFile      9734      3877408          0            0	File objects Thre      1257      3217920          0            0	Thread objects , Binary: nt!psEtwR     12141      2672640          0            0	Etw KM RegEntry , Binary: nt!etw
...

从卦中数据看，有一个神秘的 Tag=Leak 的内存分配，它分配了 119 次，总大小 4.99G。 哈哈，其实就是刚才通过 MyFault 做的 40M/s 的内存分配。

接下来的问题是：这个 Leak 是哪一个驱动程序所为呢？最简单的办法就是在各个驱动的内存空间中做内存搜索，看看谁里面有 Leak 的asc硬编码，对吧，有了这个思路，先用 lm 看看里面都有哪些 sys 。


3: kd> lm
start             end                 module name
ffffc25c`891b0000 ffffc25c`89480000   win32kbase   (deferred)             
ffffc25c`8a190000 ffffc25c`8a545000   win32kfull   (deferred)     
...                  
fffff807`22600000 fffff807`23646000   nt         (pdb symbols) 
fffff807`23c00000 fffff807`23d16000   clipsp     (deferred)             
fffff807`47f30000 fffff807`47f4b000   monitor    (deferred)             
fffff807`47f50000 fffff807`47f59000   myfault    (deferred)             
...          Unloaded modules:
fffff807`3c6e0000 fffff807`3c6ec000   360Sensor64.sys
fffff807`31550000 fffff807`31560000   dump_storport.sys
fffff807`315a0000 fffff807`315d3000   dump_storahci.sys
fffff807`31000000 fffff807`3101e000   dump_dumpfve.sys
fffff807`26b80000 fffff807`26bac000   luafv.sys
fffff807`26b20000 fffff807`26b30000   dump_storport.sys
fffff807`26b70000 fffff807`26ba3000   dump_storahci.sys
fffff807`26bd0000 fffff807`26bee000   dump_dumpfve.sys
fffff807`28130000 fffff807`2814c000   dam.sys 
fffff807`24200000 fffff807`2420a000   360elam64.sys
fffff807`25230000 fffff807`25241000   hwpolicy.sys

接下来就是写脚本在每个 sys 的 start ~ end 区间做 s 搜索，这个脚本我就不放了，非常简单，最终就在 myfault.sys 中成功找到了 Leak 硬编码，参考如下：


3: kd> lmvm myfault
Browse full module list
start             end                 module name
fffff807`47f50000 fffff807`47f59000   myfault    (deferred)             Image path: \??\C:\Windows\system32\drivers\myfault.sysImage name: myfault.sysBrowse all global symbols  functions  dataTimestamp:        Fri Sep 30 00:17:31 2022 (6335C51B)CheckSum:         00010CEDImageSize:        00009000Translations:     0000.04b0 0000.04e4 0409.04b0 0409.04e4Information from resource tables:3: kd> ? fffff807`47f59000 - fffff807`47f50000
Evaluate expression: 36864 = 00000000`000090003: kd> s -a fffff807`47f50000 L?0x9000  "Leak"
fffff807`47f51559  4c 65 61 6b 0f 42 c1 41-8d 49 fd 8b d0 ff 15 0c  Leak.B.A.I......
fffff807`47f515c7  4c 65 61 6b 0f 42 c1 33-c9 8b d0 ff 15 a0 1a 00  Leak.B.3........

三: 总结

在过往的dump分析中都是用户态程序的泄露，内核态模式堆的的泄露还是第一次分析，不是朋友提供的这次机会，真的就没缘分啦！在这次dump分析过程中，也让大家看到了 windbg 是多么的强大！

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.mzph.cn/news/598419.shtml

如若内容造成侵权/违法违规/事实不符，请联系多彩编程网进行投诉反馈email:809451989@qq.com，一经查实，立即删除！

相关文章

openlayer 轨迹动画（方式一）使用ol-ext

openlayer 轨迹动画（方式一）使用ol-ext

ol-ext官方示例地址&#xff1a;ol-ext 示例代码 实测可用 <!DOCTYPE html> <html><head><meta http-equiv"Content-Type" content"text/html; charsetutf-8" /><title>点沿线动画</title><!-- Openlayers -->…
阅读更多...
使用pnnx将Torch模型转换为ncnn

使用pnnx将Torch模型转换为ncnn

1. 引言 以往我们将Torch模型转换为ncnn模型&#xff0c;通常需经过Torch–>onnx&#xff0c;onnx–>ncnn两个过程。但经常会出现某些算子不支持的问题。 ncnn作者针对该问题&#xff0c;直接开发一个Torch直接转换ncnn模型的工具 (PNNX)&#xff0c;以下为相关介绍及使…
阅读更多...
Linux端口转发的几种常用方法

Linux端口转发的几种常用方法

1. SSH 端口转发 SSH 提供了一个非常有意思的功能&#xff0c;就是端口转发&#xff0c;它能够将其他 TCP 端口的网络数据通过 SSH 链接来转发&#xff0c;并且自动提供了相应的加密及解密服务。 (1) 本地端口转发 ssh -fgN -L 2222:localhost:22 localhost (2) 远程端口转…
阅读更多...
java查询结果的处理

java查询结果的处理

java查询结果的处理 为了方便使用sql的数据&#xff0c;在查询后mysql会把数据封装到java里面的resultset对象&#xff0c;然后我们需要把resultset里的数据再封装到我们自己创建的对象中&#xff0c;比如Student对象&#xff1a; public class Student {int number;String n…
阅读更多...
超快速排序

超快速排序

title: 超快速排序 date: 2024-01-05 11:51:43 tags: 逆序对 categories: 算法进阶指南 题目大意 解题思路 逆序数是一个序列每一个数的左边有多少比他本身大的值。将一个序列排序完整&#xff0c;最小交换次数即是逆序数之和。使用归并排序的同时&#xff0c;将每一个逆序数求…
阅读更多...
C#用StringBuilder高效处理字符串

C#用StringBuilder高效处理字符串

目录 一、背景 二、使用StringBuilder便捷、高效地操作字符串 三、实例 1.源码 2.生成效果 四、实例中知识点 1.StringBuilder类 &#xff08;1&#xff09;构造函数 &#xff08;2&#xff09;属性 &#xff08;3&#xff09;方法 2.Environment.NewLine 属性 一、…
阅读更多...
SurfaceView和TextureView理解相关

SurfaceView和TextureView理解相关

一、为什么要使用SurfaceView 我们知道View是通过刷新来重绘视图&#xff0c;系统通过发出VSSYNC信号来进行屏幕的重绘&#xff0c;刷新的时间间隔是16ms,如果我们可以在16ms以内将绘制工作完成&#xff0c;则没有任何问题&#xff0c;如果我们绘制过程逻辑很复杂&#xff0c;…
阅读更多...
SSD 颗粒还要涨价50%，入手前小心速度陷阱

SSD 颗粒还要涨价50%，入手前小心速度陷阱

大伙应该感受到了&#xff0c;自今年年中开始 SSD 普遍开始了小幅涨价。 但即便涨价到现在&#xff0c;NAND 厂商仍属于倒亏状态... 原因很简单&#xff0c;库存太多。 根据 TrendForce 的报道&#xff0c;主要制造商价格将需要再次上涨 40% 以上才能不亏&#xff0c;而达到盈…
阅读更多...
【ZYNQ入门】第五篇、AXI HP口读写数据原理

【ZYNQ入门】第五篇、AXI HP口读写数据原理

目录 第一部分、AXI总线的相关知识 1、ZYNQ架构 2、AXI 总线和 AXI 接口以及 AXI 协议 3、AXI 总线与 ZYNQ 的关系 4、AXI 总线介绍 5、AXI 接口介绍 6、AXI 协议介绍 7、AXI高效传输的原因 8、常见总线汇总 9、HP接口写时序配置 10、HP DDR的地址分配 11、缓存一…
阅读更多...
QT开源类库集合

QT开源类库集合

QT开源类库集合 一、自定义控件 QSintQicsTableLongscroll-qtAdvanced Docking System 二、图表控件 QwtQCustomPlotJKQTPlotter 三、网络 QHttpEngineHTTP 四、 音视频 vlc-qt 五、多线程 tasks 六、数据库 EasyQtSql 一、自定义控件 1. QSint 源代码地址&#xff1a;QSint&…
阅读更多...
如何缓解BOT攻击？分享灵活准确的防御之道

如何缓解BOT攻击？分享灵活准确的防御之道

BOT流量在所有互联网流量中的占比过半&#xff0c;而且存在好坏之分。其中“好”的BOT&#xff0c;比如在互联网上搜索和查找内容的BOT&#xff0c;它们是我们不可或缺的帮手。恶意的BOT进行信息数据爬取、薅羊毛等攻击行为&#xff0c;正损害着企业和用户的利益。专业数据统计…
阅读更多...
将文本文件导入Oracle数据库的简便方法：SQL Developer

将文本文件导入Oracle数据库的简便方法：SQL Developer

需求 我有一个文本文件dbim.txt&#xff0c;是通过alert log生成的&#xff0c;内容如下&#xff1a; 2020-09-11 2020-09-11 ... 2023-12-03 2023-12-03 2023-12-26我已经在Oracle数据库中建立了目标表&#xff1a; create table dbim(a varchar(16));我想把日志文件导入Or…
阅读更多...
Java IO 流面试题

Java IO 流面试题

1. Java 中有几种类型的流&#xff1f;JDK 为每种类型的流提供了哪些抽象类以供继承&#xff1f; 参考答案 基础流可以分为&#xff1a;字节流&#xff0c;字符流。字节流继承于 InputStream、OutputStream 抽象类&#xff0c;字符流继承于 Reader 和 Writer 抽象类。在 java.…
阅读更多...
若依管理系统部署

若依管理系统部署

本文章仅供参考&#xff0c;由于个软件版本不同可能会有偏差。 登录系统打开cmd 编辑文件 这些文件分别打开&#xff0c;打开后在浏览器会出现若依管理系统后台&#xff0c;输入账号 admin 密码 123456即可进入后台。 本文章仅供参考&#xff0c;由于个软件版本不同可能会有…
阅读更多...
Linux内存管理：(六)页交换算法

Linux内存管理：(六)页交换算法

文章说明&#xff1a; Linux内核版本&#xff1a;5.0 架构&#xff1a;ARM64 参考资料及图片来源&#xff1a;《奔跑吧Linux内核》 Linux 5.0内核源码注释仓库地址&#xff1a; zhangzihengya/LinuxSourceCode_v5.0_study (github.com) 1. 引言 在Linux操作系统中&#x…
阅读更多...
synchronized锁的底层原理

synchronized锁的底层原理

synchronized 锁是 Java 中用于实现线程同步的关键字。它提供了一种简单而有效的方式来确保多个线程之间的互斥访问。底层原理可以通过 Java 的内存模型和对象监视器锁&#xff08;Monitor Lock&#xff09;来理解。 Monitor结构如下&#xff1a; 在 Java 的内存模型中&#x…
阅读更多...
Spring Boot 与 Spring 框架的区别

Spring Boot 与 Spring 框架的区别

一、前言 Spring Boot 和 Spring 框架是由 Spring 项目提供的两个关键的技术栈&#xff0c;它们在 Java 开发中扮演着不同的角色。在阐述其区别之前&#xff0c;我们先大致了解下这两个框架 二、Spring 框架 1、背景 Spring 框架是一个全栈的企业应用开发框架&#xff0c;起…
阅读更多...
springboot社区养老服务系统设计与实现

springboot社区养老服务系统设计与实现

&#x1f345;点赞收藏关注 → 私信领取本源代码、数据库&#x1f345; 本人在Java毕业设计领域有多年的经验&#xff0c;陆续会更新更多优质的Java实战项目希望你能有所收获&#xff0c;少走一些弯路。&#x1f345;关注我不迷路&#x1f345;一 、设计说明 1.1 研究背景 当…
阅读更多...
【Vue.js设计与实现解读-1】

【Vue.js设计与实现解读-1】

Vue设计与实现阅读-1 1、命令式和声明式2、性能3、虚拟DOM性能4、运行时和编译时5、总结 前言 最近工作清闲了些&#xff0c;想着很久没有看书&#xff0c;Vue.js设计与实现这本书看了好几次都没有读完&#xff0c;趁着这个机会边读边记录一下吧。如果有理解的不正确的地方&…
阅读更多...
C#12新功能主构造函数：实用，简洁利落

C#12新功能主构造函数：实用，简洁利落

大家还记得记录(record)类型吗&#xff1f;记录类型很像一个构造函数&#xff0c;那么类可以像record类型一样使用吗&#xff1f;C#12就推出了这样的功能&#xff0c;这就是主构造函数。“现在可以在任何 class 和 struct 中创建主构造函数。主构造函数不再局限于 record 类型。…
阅读更多...
最新文章

Copyright @ 2022~2023