Net 高級調試之二：CLR和Windows載入器及應用程式域介紹

来源:https://www.cnblogs.com/PatrickLiu/archive/2023/10/25/17784634.html
-Advertisement-
Play Games

MDI窗體的相關學習使用 1、設置MDI父窗體 在屬性中找到IsMdiContainer選項，設置為True 2、添加MDI子窗體，在項目中依次選擇添加->窗體，然後一直預設即可 添加後的項目目錄（Form1為父視窗，Form2、Form3為子視窗） 3、在Form1.cs中，創建對應MDI子視窗的 ...


一、簡介
　　　　今天是 Net 高級調試的第二篇文章，第一篇文章記錄了自己學習 Net 高級調試的第一步，認識一些調試工具，有了工具的倚仗，我們開始仗劍走天涯了，開始Net 高級調試正式的徵程了。我先說一下，我的文章，【調試測試】這部分一般分為兩個部分，第一部分是要用到的所有測試代碼樣例，也為大家提供方便，我第一次做測試還是走了不少彎路的。第二部分，就是使用 Windbg 調試器調試代碼的部分，但是，需要說明一下，使用 Windbg還是有一些技巧的，或者說是方法的，如果大家不熟悉，建議提前熟悉一下，因為我的測試過程，不會把所有的過程都照搬下來，會省略一下不太重要的步驟，但是，如果是第一次使用這個軟體的，調試的時候，得到的結果可能就和我的不一樣，這也是我的一步一步的、痛苦的經驗。
　　　　如果在沒有說明的情況下，所有代碼的測試環境都是 Net Framewok 4.8，但是，有時候為了查看源碼，可能需要使用 Net Core 的項目，我會在項目章節里進行說明。好了，廢話不多說，開始我們今天的調試工作。
　　　　調試環境我需要進行說明，以防大家不清楚，具體情況我已經羅列出來。
　　　　　　　　　　操作系統：Windows Professional 10
　　　　　　　　　　調試工具：Windbg Preview（可以去Microsoft Store 去下載）
　　　　　　　　　　開發工具：Visual Studio 2022
　　　　　　　　　　Net 版本：Net Framework 4.8
　　　　　　　　　　CoreCLR源碼：源碼下載
二、相關概念
　　　　1、Net 框架
　　　　　　　　Net 是一個虛擬的運行時環境，包含了一個虛擬的執行引擎（CLR）和一組相關的框架類庫，如圖：
　　　　　　　　
　　　　　　　　1.1、巨集觀概念
　　　　　　　　　　　　
　　　　　　　　　   　　a)、ECMA
　　　　　　　　　　　　　　　　C# 語言和公共語言基礎結構 (CLI) 規範通過 Ecma International® 進行標準化。用通俗的話來說，ECMA是一個標準，它就是一個CLR的開發規範，或者說是一個設計文檔。
　　　　　　　　　　　　　　　　https://learn.microsoft.com/zh-cn/dotnet/fundamentals/standards

　　　　　　　　　　　　b)、CLR
　　　　　　　　　　　　　　　　公共語言運行時。是我們 C#,VB.Net，F#的運行時環境，當然，這也是高級調試要關註的部分。
　　　　　　　　　　　　　　　　CLR 處理記憶體分配和管理。
　　　　　　　　　　　　　　　　CLR 也是一種虛擬機，不僅可執行應用，還可使用 JIT 編譯器快速生成和編譯代碼。
　　　　　　　　　　　　　　　　最後，我們總結一下，CLR是針對 ECMA 標準的落地實現。

　　　　　　　　　　　　c)、NET 框架
　　　　　　　　　　　　　　　　NET框架有很多，比如：WPF，WinForm，WebForm，Mvc，WebAPI 等。

　　　　　　　　　　　　d)、Net應用程式
　　　　　　　　　　　　　　　　NET 應用程式，更多的指的是用戶編寫的應用程式，比如：基於 Winform 的ERP，基於 MVC、API 實現的網站系統。

　　　　　　　　1.2、Net程式的編譯過程
　　　　　　　　　　　　Net程式的編譯一般分為兩個階段，第一個階段就是編譯器編譯，將C# 源碼編譯成為 IL 代碼，第二個階段就是 JIT 編譯，將 IL 代碼編譯成為可以直接運行的機器代碼。
　　　　　　　　　　　　a)、編譯器編譯
　　　　　　　　　　　　　　　　將我們的C#、VB.Net、F#等源碼使用 Visual Studio，或者是 CSC 等類似的工具轉換為 IL 代碼。當然 IL 代碼是不能直接運行的。
　　　　　　　　　　　　　　　　當然，IL 代碼也是可以看到的，我們可以使用 ILSpy，或者DnSpy工具，載入相應的程式集，就可以查看了，很簡單，就不細說了。

　　　　　　　　　　　　b)、JIT編譯
　　　　　　　　　　　　　　　　CLR 運行時會將 IL 代碼轉換成 機器代碼。

　　　　　　　　　　　　流程如下：【C# 源碼】======》【編譯器】=======》【Net 程式集（Exe或者Dll）】=====》【JIT即時編譯（CLR）】=====》【機器代碼】
　　　　　　　　　　　　　　　　

　　　　2、PE頭及Windows 載入器
　　　　　　　　
　　　　　　　　2.1、什麼是PE文件
　　　　　　　　　　　　PE文件的全稱是Portable Executable，意為可移植的可執行的文件，常見的EXE、DLL、OCX、SYS、COM都是PE文件，PE文件是微軟Windows操作系統上的程式文件，它的一個非常大的作用就是幫助 Windows 載入器 執行程式的入口。
　　　　　　　　　　　　對於 Net 的 PE 文件，有幾點需要註意：
　　　　　　　　　　　　a）、AddressOfEntryPoint
　　　　　　　　　　　　　　　程式的入口點相對偏移地址，即（exe+AddressOfEntryPoint）。
　　　　　　　　　　　　　　

　　　　　　　　　　　　b）、DIRECTORY_ENTRY_COM_DESCRIPTOR
　　　　　　　　　　　　　　　Net 程式獨有的節點配置。
　　　　　　　　　　　　　　

　　　　　　　　　　　　　　 ILSpy 查看 Example_2_1_1.exe 的元數據。
　　　　　　　　　　　　　　　　

　　　　　　　　　　　　c）、EntryPointToken
　　　　　　　　　　　　　　　　這個標簽的地址，就是我們程式 Program.Main 方法的入口點地址。
　　　　　　　　　　　　　　　　IL 代碼裡面也是有標記的。
　　　　　　　　　　　　　　　　　
　　　　　　　　　　　　　
　　　　　　　　2.2、小知識
　　　　　　　　　　　　　Windbg 有一個偽寄存器命令 ?  $exentry，可以直接告訴我們 exe 程式的入口點地址。

　　　　3、應用程式域　　　　　　　　
　　　　　　　  3.1、簡介
　　　　　　　　　　對於 Windows 上的應用程式，大家都知道是按照【進程】進行隔離的。Net 將這種進程隔離縮小到了【應用程式域】層，即一個進程會有多個【應用程式域】，然後將應用程式部署在【應用程式域】上。
　　　　　　　　　　在 CLR 上，應用程式域分為三類，分別是：SystemDomain、SharedDomain、Domain1。當然，這是說的在 Net Framework 的情況下，在 Net Core 框架下，只有兩個應用程式域，風別是：SystemDomain、Domain1，去掉了 SharedDomain 這個應用程式域。

　　　　　　 3.2、應用程式域
　　　　　　　　　　   a）、SystemDomain
　　　　　　　　　　　　　　　    系統及作用域，用於創建其他作用域。
　　　　　　　　　　　　　　　　將 mscorlib.dll 載入到 SharedDomain 共用及應用程式域。
　　　　　　　　　　　　　　　　記錄字元串池中字元串常量。
　　　　　　　　　　　　　　　　初始化特定異常（OutOfMemoryException、StackOverflowException）。

　　　　　　　　　　　b）、SharedDomain
　　　　　　　　　　　　　　　　載入 System 命名空間下的基本類型（String，Enum，ValueType）。

　　　　　　　　　　　c）、Domain1
　　　　　　　　　　　　　　　　用戶的應用程式都是在這個域中運行。

三、調試測試
　　　　這個章節里，很簡單，一共分為兩個部分，第一部分是要用到的測試代碼的樣例，第二部分，就是具體的測試操作過程，說明一下，假設大家對 Windbg 有些熟悉。

　　　　1、測試代碼

　　　　　　　　1.1、代碼樣例1　　　　　　　　　　　 
 1 namespace Example_2_1_1
 2 {
 3     internal class Program
 4     {
 5         static void Main(string[] args)
 6         {
 7             Console.WriteLine("Hello World");
 8             Console.ReadLine();
 9         }
10     }
11 }

　　　　2、調試過程
　　　　　　　　2.1、驗證 CLR 和 JIT 的 存在。
　　　　　　　　　　　　驗證代碼：Example_2_1_1
　　　　　　　　　　　　操作描述：編譯 Example_2_1_1 項目，打開 Windbg，通過【launch executable】載入我們的程式集。當我們成功載入程式集，還必須通過【g】命令，或者【Go】按鈕執行程式，這個時候，才能載入所有的東西。當我們運行完之後，就能看到運行界面，就可以看到和 CLR 和 JIT 有關的東西。紅色字體表明載入了 CLR 和 JIT 兩個組件。
　　　　 
 1 0:000> g
 2 ModLoad: 74ec0000 74f39000   C:\Windows\SysWOW64\ADVAPI32.dll
 3 ModLoad: 771f0000 772af000   C:\Windows\SysWOW64\msvcrt.dll
 4 ModLoad: 757e0000 75855000   C:\Windows\SysWOW64\sechost.dll
 5 ModLoad: 753c0000 7547a000   C:\Windows\SysWOW64\RPCRT4.dll
 6 ModLoad: 711c0000 7124d000   C:\Windows\Microsoft.NET\Framework\v4.0.30319\mscoreei.dll
 7 ModLoad: 771a0000 771e5000   C:\Windows\SysWOW64\SHLWAPI.dll
 8 ModLoad: 757d0000 757df000   C:\Windows\SysWOW64\kernel.appcore.dll
 9 ModLoad: 74eb0000 74eb8000   C:\Windows\SysWOW64\VERSION.dll
10 ModLoad: 70a10000 711c0000   C:\Windows\Microsoft.NET\Framework\v4.0.30319\clr.dll（CLR組件，載入的起始地址：70a10000）
11 ModLoad: 75870000 75a04000   C:\Windows\SysWOW64\USER32.dll
12 ModLoad: 77070000 77088000   C:\Windows\SysWOW64\win32u.dll
13 ModLoad: 70940000 709eb000   C:\Windows\SysWOW64\ucrtbase_clr0400.dll
14 ModLoad: 75fb0000 75fd3000   C:\Windows\SysWOW64\GDI32.dll
15 ModLoad: 709f0000 70a04000   C:\Windows\SysWOW64\VCRUNTIME140_CLR0400.dll
16 ModLoad: 750c0000 7519b000   C:\Windows\SysWOW64\gdi32full.dll
17 ModLoad: 76390000 7640b000   C:\Windows\SysWOW64\msvcp_win.dll
18 ModLoad: 75550000 75670000   C:\Windows\SysWOW64\ucrtbase.dll
19 ModLoad: 74fa0000 74fc5000   C:\Windows\SysWOW64\IMM32.DLL
20 ModLoad: 75ff0000 76270000   C:\Windows\SysWOW64\combase.dll
21 (7fc.b18): Unknown exception - code 04242420 (first chance)
22 ModLoad: 6f530000 7093e000   C:\Windows\assembly\NativeImages_v4.0.30319_32\mscorlib\218db16dceaef380c6daf35c6a48f313\mscorlib.ni.dll
23 ModLoad: 76490000 76573000   C:\Windows\SysWOW64\ole32.dll
24 ModLoad: 75ff0000 76270000   C:\Windows\SysWOW64\combase.dll
25 ModLoad: 752a0000 752fc000   C:\Windows\SysWOW64\bcryptPrimitives.dll
26 ModLoad: 6f4a0000 6f52a000   C:\Windows\Microsoft.NET\Framework\v4.0.30319\clrjit.dll（這個就是JIT編譯器組件，在進程中的起始地址：6f4a0000）
27 ModLoad: 751a0000 7523b000   C:\Windows\SysWOW64\OLEAUT32.dll

　　　　　　　　　　　　
　　　　　　　　2.2、證明 Windows 載入器如何載入一個 Net 的程式集。
　　　　　　　　　　　　驗證代碼：Example_2_1_1
　　　　　　　　　　　　PPEE是綠色軟體，不用安裝，直接下載就可以使用。打開 PPEE 軟體，打開 Example_2_1_1.exe，就可以看到 PE 文件。
　　　　　　　　　　　　當我們雙加一個 Net 的Exe應用程式的時候，操作系統會做很多工作，比如：在內核態生成進行的地址空間，地址空間生成成功後，然後在生成一個Process 的進程，再給這個進程生成一個主線程，在內核態還要針對進程生成 EProcess 的數據結構，針對線程生成一個 ETHREAD 的數據結構。當所有的準備工作都完成後，要開始執行程式，從哪裡開始執行程式呢？我們來證明一下，或者說熟悉一下，這個過程就和 PE 頭文件有關了。


　　　　　　　　　　　　a、Windows 載入器會讀取 PE 文件頭裡面的數據，來確定從哪裡開始執行，第一步，我們通過 PPEE 查看 Example_2_1_1.exe PE 文件，在 PE 頭裡依次點擊【NT Header】-->【Optional Header】，在窗體的右側就可以看到，有一項【AddressOfEntryPoint】，它的值是：00002782，這個地址是相對地址，是相對程式進程起始地址來說的。
　　　　　　　　　　　　　　如圖：
　　　　　　　　　　　　　　

　　　　　　　　　　　　　　我們有了入口程式的相對起始地址，我們找一下應用程式的進程起始地址，二者相加，就是 Windows 載入器要執行的地址。想要查看 Example_2_1_1.exe 進程地址，需要藉助 Windbg，紅色部分就是 Example_2_1_1.exe 進程的起始地址。

　　　　　　　　　　　　　　代碼如下：

1 Executable search path is: 
2 ModLoad: 00ca0000 00ca8000   Example_2_1_1.exe
3 ModLoad: 770d0000 77272000   ntdll.dll
4 ModLoad: 71050000 710a2000   C:\Windows\SysWOW64\MSCOREE.DLL
5 ModLoad: 74cc0000 74db0000   C:\Windows\SysWOW64\KERNEL32.dll
6 ModLoad: 767a0000 769b3000   C:\Windows\SysWOW64\KERNELBASE.dll

　　　　　　　　　　　　　　二者相加就是WIndows 載入器的入口點地址，還不是我們的 Program.Main的地址，00ca0000（Example_2_1_1進程起始地址），00002782 是 PE 頭告訴的入口點地址，我們通過 U 命令，可以查看彙編代碼。通過代碼我們可以看到，執行了 jmp 指令，跳轉的地址是：402000h。
　　　　　　　　　　　　　　

 1 0:000> u 00ca0000+00002782
 2 Example_2_1_1!COM+_Entry_Point <PERF> (Example_2_1_1+0x2782（PE 頭裡的值）):
 3 00ca2782 ff2500204000    jmp（執行跳轉指令）     dword ptr ds:[402000h]
 4 Example_2_1_1!COM+_Entry_Point <PERF> (Example_2_1_1+0x2788):
 5 00ca2788 0000            add     byte ptr [eax],al
 6 Example_2_1_1!COM+_Entry_Point <PERF> (Example_2_1_1+0x278a):
 7 00ca278a 0000            add     byte ptr [eax],al
 8 Example_2_1_1!COM+_Entry_Point <PERF> (Example_2_1_1+0x278c):
 9 00ca278c 0000            add     byte ptr [eax],al
10 Example_2_1_1!COM+_Entry_Point <PERF> (Example_2_1_1+0x278e):
11 00ca278e 0000            add     byte ptr [eax],al
12 Example_2_1_1!COM+_Entry_Point <PERF> (Example_2_1_1+0x2790):
13 00ca2790 0000            add     byte ptr [eax],al
14 Example_2_1_1!COM+_Entry_Point <PERF> (Example_2_1_1+0x2792):
15 00ca2792 0000            add     byte ptr [eax],al
16 Example_2_1_1!COM+_Entry_Point <PERF> (Example_2_1_1+0x2794):
17 00ca2794 0000            add     byte ptr [eax],al

　　　　　　　　　　　　　　　　接下來，我們看看 402000h 這個地址有什麼東西。

　　　　　　　　　　　　　　      再次執行 Windbg，重新載入 Example_2_1_1.exe，通過【g】命令繼續運行，暫停時，【break】開始調試狀態，必須切換到主線程，也就是 0號線程。
　　　　　　　　　　　　　　　　

 1 //g 繼續運行
 2 0:000> g
 3 ModLoad: 76c30000 76ca9000   C:\Windows\SysWOW64\ADVAPI32.dll
 4 ModLoad: 765b0000 7666f000   C:\Windows\SysWOW64\msvcrt.dll
 5 ModLoad: 76e30000 76ea5000   C:\Windows\SysWOW64\sechost.dll
 6 ModLoad: 75c40000 75cfa000   C:\Windows\SysWOW64\RPCRT4.dll
 7 ModLoad: 70fc0000 7104d000   C:\Windows\Microsoft.NET\Framework\v4.0.30319\mscoreei.dll
 8 ModLoad: 75d20000 75d65000   C:\Windows\SysWOW64\SHLWAPI.dll
 9 ModLoad: 75530000 7553f000   C:\Windows\SysWOW64\kernel.appcore.dll
10 ModLoad: 74cb0000 74cb8000   C:\Windows\SysWOW64\VERSION.dll
11 ModLoad: 70810000 70fc0000   C:\Windows\Microsoft.NET\Framework\v4.0.30319\clr.dll
12 ModLoad: 76410000 765a4000   C:\Windows\SysWOW64\USER32.dll
13 ModLoad: 707f0000 70804000   C:\Windows\SysWOW64\VCRUNTIME140_CLR0400.dll
14 ModLoad: 76180000 76198000   C:\Windows\SysWOW64\win32u.dll
15 ModLoad: 70740000 707eb000   C:\Windows\SysWOW64\ucrtbase_clr0400.dll
16 ModLoad: 75b80000 75ba3000   C:\Windows\SysWOW64\GDI32.dll
17 ModLoad: 76670000 7674b000   C:\Windows\SysWOW64\gdi32full.dll
18 ModLoad: 76b30000 76bab000   C:\Windows\SysWOW64\msvcp_win.dll
19 ModLoad: 75550000 75670000   C:\Windows\SysWOW64\ucrtbase.dll
20 ModLoad: 754f0000 75515000   C:\Windows\SysWOW64\IMM32.DLL
21 Breakpoints 3 and 0 match
22 ModLoad: 75f00000 76180000   C:\Windows\SysWOW64\combase.dll
23 (3624.36d8): Unknown exception - code 04242420 (first chance)
24 ModLoad: 6f330000 7073e000   C:\Windows\assembly\NativeImages_v4.0.30319_32\mscorlib\218db16dceaef380c6daf35c6a48f313\mscorlib.ni.dll
25 ModLoad: 76cb0000 76d93000   C:\Windows\SysWOW64\ole32.dll
26 ModLoad: 75f00000 76180000   C:\Windows\SysWOW64\combase.dll
27 ModLoad: 76fa0000 76ffc000   C:\Windows\SysWOW64\bcryptPrimitives.dll
28 ModLoad: 6f2a0000 6f32a000   C:\Windows\Microsoft.NET\Framework\v4.0.30319\clrjit.dll
29 ModLoad: 76eb0000 76f4b000   C:\Windows\SysWOW64\OLEAUT32.dll
30 (3624.20f0): Break instruction exception - code 80000003 (first chance)
31 eax=0106b000 ebx=00000000 ecx=7717cee0 edx=7717cee0 esi=7717cee0 edi=7717cee0
32 eip=77143410 esp=05a2fa9c ebp=05a2fac8 iopl=0         nv up ei pl zr na pe nc
33 cs=0023  ss=002b  ds=002b  es=002b  fs=0053  gs=002b             efl=00000246
34 ntdll!DbgBreakPoint:
35 77143410 cc              int     3
36 
37 //切換到主線程
38 0:006> ~0s
39 eax=00000000 ebx=0000009c ecx=00000000 edx=00000000 esi=0138ee3c edi=00000000
40 eip=771410fc esp=0138ed24 ebp=0138ed84 iopl=0         nv up ei pl nz na pe nc
41 cs=0023  ss=002b  ds=002b  es=002b  fs=0053  gs=002b             efl=00000206
42 ntdll!NtReadFile+0xc:
43 771410fc c22400          ret     24h

　　　　　　　　　　　　　　　　我們通過【k】命令，查看顯示調用棧

 1 0:000> k
 2  # ChildEBP RetAddr      
 3 00 0138ed84 768af25c     ntdll!NtReadFile+0xc
 4 01 0138ed84 6f7e9b71     KERNELBASE!ReadFile+0xec
 5 02 0138edf4 6ff1b275     mscorlib_ni+0x4b9b71
 6 03 0138ee20 6ff1b17b     mscorlib_ni!System.IO.__ConsoleStream.ReadFileNative+0x89 [f:\dd\ndp\clr\src\BCL\system\io\__consolestream.cs @ 205] 
 7 04 0138ee4c 6f7ce6a3     mscorlib_ni!System.IO.__ConsoleStream.Read+0x9f [f:\dd\ndp\clr\src\BCL\system\io\__consolestream.cs @ 134] 
 8 05 0138ee64 6f7ceb5b     mscorlib_ni!System.IO.StreamReader.ReadBuffer+0x33 [f:\dd\ndp\clr\src\BCL\system\io\streamreader.cs @ 595] 
 9 06 0138ee80 70063786     mscorlib_ni!System.IO.StreamReader.ReadLine+0xe3 [f:\dd\ndp\clr\src\BCL\system\io\streamreader.cs @ 748] 
10 07 0138ee90 6fec1845     mscorlib_ni!System.IO.TextReader.SyncTextReader.ReadLine+0x1a [f:\dd\ndp\clr\src\BCL\system\io\textreader.cs @ 363] 
11 08 0138ee98 03250876     mscorlib_ni!System.Console.ReadLine+0x15 [f:\dd\ndp\clr\src\BCL\system\console.cs @ 1984] 
12 WARNING: Frame IP not in any known module. Following frames may be wrong.
13 09 0138eea8 7081f036     0x3250876
14 0a 0138eeb4 708222da     clr!CallDescrWorkerInternal+0x34
15 0b 0138ef08 7082859b     clr!CallDescrWorkerWithHandler+0x6b
16 0c 0138ef7c 709cb11b     clr!MethodDescCallSite::CallTargetWorker+0x16a
17 0d 0138f0a0 709cb7fa     clr!RunMain+0x1b3
18 0e 0138f30c 709cb727     clr!Assembly::ExecuteMainMethod+0xf7
19 0f 0138f7f0 709cb8a8     clr!SystemDomain::ExecuteMainMethod+0x5ef
20 10 0138f848 709cb9ce     clr!ExecuteEXE+0x4c
21 11 0138f888 709c7305     clr!_CorExeMainInternal+0xdc
22 12 0138f8c4 70fcfa84     clr!_CorExeMain+0x4d
23 13 0138f8fc 7105e81e     mscoreei!_CorExeMain+0xd6
24 14 0138f90c 71064338     MSCOREE!ShellShim__CorExeMain+0x9e
25 15 0138f924 74cdf989     MSCOREE!_CorExeMain_Exported+0x8
26 16 0138f924 77137084     KERNEL32!BaseThreadInitThunk+0x19
27 17 0138f980 77137054     ntdll!__RtlUserThreadStart+0x2f
28 18 0138f990 00000000     ntdll!_RtlUserThreadStart+0x1b

　　　　　　　　　　　　　　以上就是線程的調用棧，我們查找一下 _CorExeMain，這個方法，可以在 PPEE 軟體里，在查看 Example_2_1_1.exe 的PE 頭文件 DIRECTORY_ENTRY_IAT 里，效果如圖：
　　　　　　　　　　　　　　　　　　

　　　　　　　　　　　　　　　　　接著上面的說，我們在【k】命令的結果中查找 _CorExeMain 方法。這裡的執行結果是一部分，紅色部分是重點，MSCOREE 就是 mscoree.dll。

 1 0a 0138eeb4 708222da     clr!CallDescrWorkerInternal+0x34
 2 0b 0138ef08 7082859b     clr!CallDescrWorkerWithHandler+0x6b
 3 0c 0138ef7c 709cb11b     clr!MethodDescCallSite::CallTargetWorker+0x16a
 4 0d 0138f0a0 709cb7fa     clr!RunMain+0x1b3（運行 Main 方法）
 5 0e 0138f30c 709cb727     clr!Assembly::ExecuteMainMethod+0xf7（載入必須的 dll 程式集）
 6 0f 0138f7f0 709cb8a8     clr!SystemDomain::ExecuteMainMethod+0x5ef（初始化系統程式域）
 7 10 0138f848 709cb9ce     clr!ExecuteEXE+0x4c（開始執行 exe）
 8 11 0138f888 709c7305     clr!_CorExeMainInternal+0xdc
 9 12 0138f8c4 70fcfa84     clr!_CorExeMain+0x4d(從這裡開始執行入口地址的方法)
10 13 0138f8fc 7105e81e     mscoreei!_CorExeMain+0xd6（載入 CLR）
11 14 0138f90c 71064338     MSCOREE!ShellShim__CorExeMain+0x9e
12 15 0138f924 74cdf989     MSCOREE!_CorExeMain_Exported+0x8(這裡就是在 PPEE 看到的入口地址 AddressOfEntryPoint:00002782)
13 16 0138f924 77137084     KERNEL32!BaseThreadInitThunk+0x19
14 17 0138f980 77137054     ntdll!__RtlUserThreadStart+0x2f
15 18 0138f990 00000000     ntdll!_RtlUserThreadStart+0x1b（ntdll是windows 32位的API）

　　　　　　　　　　　　　　　　第12行代碼就是 mscoree.dll 執行 _CorExeMain 方法，初始化環境，10 行代碼載入 CLR，CLR 從第9 行執行入口函數，知道最後進入我們的托管層，我們可以使用 !clrstack 命令查看托管棧。
　　　　　　　　　　　　　　　　

 1 0:000> !clrstack
 2 OS Thread Id: 0x36d8 (0)
 3 Child SP       IP Call Site
 4 0138eda4 771410fc [InlinedCallFrame: 0138eda4] 
 5 0138eda0 6f7e9b71 DomainNeutralILStubClass.IL_STUB_PInvoke(Microsoft.Win32.SafeHandles.SafeFileHandle, Byte*, Int32, Int32 ByRef, IntPtr)
 6 0138eda4 6ff1b275 [InlinedCallFrame: 0138eda4] Microsoft.Win32.Win32Native.ReadFile(Microsoft.Win32.SafeHandles.SafeFileHandle, Byte*, Int32, Int32 ByRef, IntPtr)
 7 0138ee08 6ff1b275 System.IO.__ConsoleStream.ReadFileNative(Microsoft.Win32.SafeHandles.SafeFileHandle, Byte[], Int32, Int32, Boolean, Boolean, Int32 ByRef) [f:\dd\ndp\clr\src\BCL\system\io\__consolestream.cs @ 205]
 8 0138ee3c 6ff1b17b System.IO.__ConsoleStream.Read(Byte[], Int32, Int32) [f:\dd\ndp\clr\src\BCL\system\io\__consolestream.cs @ 134]
 9 0138ee5c 6f7ce6a3 System.IO.StreamReader.ReadBuffer() [f:\dd\ndp\clr\src\BCL\system\io\streamreader.cs @ 595]
10 0138ee6c 6f7ceb5b System.IO.StreamReader.ReadLine() [f:\dd\ndp\clr\src\BCL\system\io\streamreader.cs @ 748]
11 0138ee88 70063786 System.IO.TextReader+SyncTextReader.ReadLine() [f:\dd\ndp\clr\src\BCL\system\io\textreader.cs @ 363]
12 0138ee98 6fec1845 System.Console.ReadLine() [f:\dd\ndp\clr\src\BCL\system\console.cs @ 1984]
13 0138eea0 03250876 Example_2_1_1.Program.Main(System.String[]) [E:\Visual Studio 2022\Source\Projects\AdvancedDebug.NetFramework.Test\Example_2_1_1\Program.cs @ 10]
14 0138f020 7081f036 [GCFrame: 0138f020]

　　　　　　　　　　　　　　　　系統進入了托管棧，那它怎麼知道要執行程式的 Main 方法呢？其實，在 PE 頭文件里也有說明，在【DIRECTORY_ENTRY_COM_DESCRIPTOR】配置項里，我們點擊該節點，在右側顯示詳情，請註意【EntryPointToken】，值是：06000001，這個標記就是 Main方法。

　　　　　　　　　　　　　　　　　效果如圖：
　　　　　　　　　　　　　　　　　　

　　　　　　　　　　　　　　　　　　我們為了證明 06000001就是 Main 方法，我們使用 ILSpy 或者 DnSpy 查看程式集的元數據，效果如圖：
　　　　　　　　　　　　　　　　　　

　　　　　　　　　　　　　　　　　　其實，我們在 Main 方法的 IL 代碼里也有標記，紅色部分就是，註意。

 1 .method private hidebysig static 
 2     void Main (
 3         string[] args
 4     ) cil managed 
 5 {
 6     // Method begins at RVA 0x2050
 7     // Header size: 1
 8     // Code size: 19 (0x13)
 9     .maxstack 8
10     .entrypoint
11 
12     IL_0000: nop
13     IL_0001: ldstr "Hello World"
14     IL_0006: call void [mscorlib]System.Console::WriteLine(string)
15     IL_000b: nop
16     IL_000c: call string [mscorlib]System.Console::ReadLine()
17     IL_0011: pop
18     IL_0012: ret
19 } // end of method Program::Main


　　　　　　　　2.3、查看應用程式域
　　　　　　　　　　　　驗證代碼：Example_2_1_1
　　　　　　　　　　　　EECLASS 存放在 LowFrequencyHeap ，MethodTable 存放在 HighFrequencyHeap

 1 0:000> !dumpdomain（執行的命令）
 2 --------------------------------------
 3 System Domain:      7115caf8（系統級程式域）
 4 LowFrequencyHeap:   7115ce1c（低頻堆）
 5 HighFrequencyHeap:  7115ce68（高頻堆）
 6 StubHeap:           7115ceb4（樁堆）
 7 Stage:              OPEN
 8 Name:               None
 9 --------------------------------------
10 Shared Domain:      7115c7a8（共用程式域）
11 LowFrequencyHeap:   7115ce1c（低頻堆）
12 HighFrequencyHeap:  7115ce68（高頻堆）
13 StubHeap:           7115ceb4（樁堆）
14 Stage:              OPEN
15 Name:               None
16 Assembly:           00b4f3d8 [C:\Windows\Microsoft.Net\assembly\GAC_32\mscorlib\v4.0_4.0.0.0__b77a5c561934e089\mscorlib.dll]
17 ClassLoader:        00b4de08
18   Module Name
19 6f531000    C:\Windows\Microsoft.Net\assembly\GAC_32\mscorlib\v4.0_4.0.0.0__b77a5c561934e089\mscorlib.dll
20 
21 --------------------------------------
22 Domain 1:           00b01518（應用程式域）
23 LowFrequencyHeap:   00b01984（低頻堆）
24 HighFrequencyHeap:  00b019d0（高頻堆）
25 StubHeap:           00b01a1c（樁堆）
26 Stage:              OPEN
27 SecurityDescriptor: 00b02a58
28 Name:               Example_2_1_1.exe
29 Assembly:           00b4f3d8 [C:\Windows\Microsoft.Net\assembly\GAC_32\mscorlib\v4.0_4.0.0.0__b77a5c561934e089\mscorlib.dll]
30 ClassLoader:        00b4de08
31 SecurityDescriptor: 00b4f340
32   Module Name
33 6f531000    C:\Windows\Microsoft.Net\assembly\GAC_32\mscorlib\v4.0_4.0.0.0__b77a5c561934e089\mscorlib.dll
34 
35 Assembly:           00b5b4d8 [E:\Visual Studio 2022\Source\Projects\AdvancedDebug.NetFramework.Test\Example_2_1_1\bin\Debug\Example_2_1_1.exe]
36 ClassLoader:        00b5afa8
37 SecurityDescriptor: 00b5aea0
38   Module Name
39 00d44044    E:\Visual Studio 2022\Source\Projects\AdvancedDebug.NetFramework.Test\Example_2_1_1\bin\Debug\Example_2_1_1.exe

　　　　　　　　　2.4、通過命令 ? $exentry  查看入口點。
0:000> ?  $exentry
Evaluate expression: 5711746 = 00572782

　　　　　　　　　　　　


三、總結
　　　　今天的內容真不少，完全記錄下來還是挺費勁的，俗話說，沒有苦哪裡來的甜呢，一天的辛苦還是值得的，自己的收穫也不少。學習如逆水行舟，不進則退，但是也也有另外一句話，學的越多，好像懂得越少。不管如何，不忘初心，繼續努力，老天不會辜負努力的人。 天下國家,可均也；爵祿,可辭也；白刃,可蹈也；中庸不可能也
您的分享是我們最大的動力!

-Advertisement-
Play Games
更多相關文章
  • 21.2 Python 使用Scapy實現埠探測
    Scapy 是一款使用純Python編寫的跨平臺網路數據包操控工具，它能夠處理和嗅探各種網路數據包。能夠很容易的創建，發送，捕獲，分析和操作網路數據包，包括TCP，UDP，ICMP等協議，此外它還提供了許多有用的功能，例如嗅探網路流量，創建自定義協議和攻擊網路的安全測試工具。使用Scapy可以通過P... ...
  • 開源物流管理系統——【1】菜單整理
    寫開源項目的想法由來已久，先前也做過嘗試，通過插件模式開發的WPF許可權控制框架。然而一直沒有堅持下來，主要有兩方面的原因：一是時間有限，對基礎開發框架也不感冒，畢竟社區裡面已經有不少了；二是走產品路線的話，除了需要瞭解業務，編碼需要更多的時間投入。 但當瞭解到Odoo這樣的低代碼平臺後，我想情況就會 ...
  • python往圖片上面添加數字
    需求背景：做倒計時圖片； 實現思路：先準備好一張圖片作為背景圖，用python往圖片上添加天數，保存圖片；從0-69天，一共生成70張圖片 背景圖如圖： 代碼如下： # 這個程式用來生成70張倒計時圖片 from PIL import Image, ImageDraw, ImageFont for ...
  • Registration Authority 簡介
    RA 功能簡介 在公共密鑰基礎設施（PKI）中，CA（Certificate Authority，證書頒發機構）系統的RA（Registration Authority，註冊機構）是PKI體繫結構的重要組成部分。RA在CA系統中扮演著關鍵角色，負責處理用戶的身份驗證和註冊請求，然後將這些請求傳遞給C ...
  • Go命令大全：全面解析與實踐
    本文詳盡地探討了Go語言的內建命令集，包括但不限於go build、go run、go get等。文章首先列舉了所有常用的Go命令，並用表格形式簡潔地解釋了它們的功能。隨後，我們逐一深入講解了每個命令的使用說明、應用場景，以及實際操作中可能遇到的輸出結果。 關註【TechLeadCloud】，分享互 ...
  • Java服務總在半夜掛，背後的真相竟然是...
    最近有用戶反饋測試環境Java服務總在凌晨00:00左右掛掉，用戶反饋Java服務沒有定時任務，也沒有流量突增的情況，Jvm配置也合理，莫名其妙就掛了 ...
  • 3種方法，用Java找出兩個List中的重覆元素
    在Java編程中，我們經常需要找出兩個列表（List）中的重覆元素。在本文中，我們將探討三種方法來實現這一目標。 ...
  • 公司新來了個同事，代碼寫得是真優雅呀！代碼如詩！
    來源：https://www.cnblogs.com/liuboren/p/17017421.html 0.前言 本篇文章是<<代碼整潔之道>>的學習總結, 通過這篇文章你將瞭解到整潔的代碼對項目、公司和你的重要性,以及如何書寫整潔的代碼. 通過命名、類、函數、測試這四個章節,使我們的代碼變得整潔. ...
一周排行
    -Advertisement-
    Play Games
  • 移動開發（一）：使用.NET MAUI開發第一個安卓APP
    移動開發（一）：使用.NET MAUI開發第一個安卓APP 對於工作多年的C#程式員來說，近來想嘗試開發一款安卓APP，考慮了很久最終選擇使用.NET MAUI這個微軟官方的框架來嘗試體驗開發安卓APP，畢竟是使用Visual Studio開發工具，使用起來也比較的順手，結合微軟官方的教程進行了安卓 ...
  • wpf ToggleButton選中效果和一個登錄界面
    前言 QuestPDF 是一個開源 .NET 庫，用於生成 PDF 文檔。使用了C# Fluent API方式可簡化開發、減少錯誤並提高工作效率。利用它可以輕鬆生成 PDF 報告、發票、導出文件等。 項目介紹 QuestPDF 是一個革命性的開源 .NET 庫，它徹底改變了我們生成 PDF 文檔的方 ...
  • 彈幕樹洞項目功能新增篇
    項目地址 項目後端地址： https://github.com/ZyPLJ/ZYTteeHole 項目前端頁面地址： ZyPLJ/TreeHoleVue (github.com) https://github.com/ZyPLJ/TreeHoleVue 目前項目測試訪問地址： http://tree ...
  • 第27篇 sqlserver2022詳細安裝步驟
    話不多說，直接開乾 一.下載 1.官方鏈接下載： https://www.microsoft.com/zh-cn/sql-server/sql-server-downloads 2.在下載目錄中找到下麵這個小的安裝包 SQL2022-SSEI-Dev.exe，運行開始下載SQL server； 二. ...
  • .NET 開源高性能 MQTT 類庫
    前言 隨著物聯網（IoT）技術的迅猛發展，MQTT（消息隊列遙測傳輸）協議憑藉其輕量級和高效性，已成為眾多物聯網應用的首選通信標準。 MQTTnet 作為一個高性能的 .NET 開源庫，為 .NET 平臺上的 MQTT 客戶端與伺服器開發提供了強大的支持。 本文將全面介紹 MQTTnet 的核心功能 ...
  • Serilog文檔翻譯系列（六） - 可用的接收器、增強器、格式化輸出
    Serilog支持多種接收器用於日誌存儲，增強器用於添加屬性，LogContext管理動態屬性，支持多種輸出格式包括純文本、JSON及ExpressionTemplate。還提供了自定義格式化選項，適用於不同需求。 ...
  • 警惕 Visual Studio 屬性求值副作用導致邏輯不符合預期
    目錄簡介獲取 HTML 文檔解析 HTML 文檔測試參考文章 簡介 動態內容網站使用 JavaScript 腳本動態檢索和渲染數據，爬取信息時需要模擬瀏覽器行為，否則獲取到的源碼基本是空的。 本文使用的爬取步驟如下： 使用 Selenium 獲取渲染後的 HTML 文檔 使用 HtmlAgility ...
  • [使用目前最新版]HybridCLR6.9.0+YooAsset2.2.4實現純C# Unity熱更新方案 (一)
    1.前言 什麼是熱更新 游戲或者軟體更新時，無需重新下載客戶端進行安裝，而是在應用程式啟動的情況下，在內部進行資源或者代碼更新 Unity目前常用熱更新解決方案 HybridCLR，Xlua，ILRuntime等 Unity目前常用資源管理解決方案 AssetBundles，Addressable， ...
  • 在 ASP.NET Core Web API 中使用操作篩選器統一處理通用操作
    本文章主要是在C# ASP.NET Core Web API框架實現向手機發送驗證碼簡訊功能。這裡我選擇是一個互億無線簡訊驗證碼平臺，其實像阿裡雲，騰訊雲上面也可以。 首先我們先去 互億無線 https://www.ihuyi.com/api/sms.html 去註冊一個賬號 註冊完成賬號後，它會送 ...
  • 第28篇 如何.net中實現高效可靠數據同步api
    通過以下方式可以高效，並保證數據同步的可靠性 1.API設計 使用RESTful設計，確保API端點明確，並使用適當的HTTP方法（如POST用於創建，PUT用於更新）。 設計清晰的請求和響應模型，以確保客戶端能夠理解預期格式。 2.數據驗證 在伺服器端進行嚴格的數據驗證，確保接收到的數據符合預期格 ...
所有分類