当前位置：首页 > 科技 > 软件

记一次 .NET某酒业业务系统崩溃分析

来源：责编：时间：2024-07-09 18:15:14 67观看

导读一、背景1. 讲故事前些天有位朋友找到我，说他的程序每次关闭时就会自动崩溃，一直找不到原因让我帮忙看一下怎么回事，这位朋友应该是第二次找我了，分析了下 dump 还是挺经典的，拿出来给大家分享一下吧。二、WinDbg 分析1.

一、背景

1. 讲故事

前些天有位朋友找到我，说他的程序每次关闭时就会自动崩溃，一直找不到原因让我帮忙看一下怎么回事，这位朋友应该是第二次找我了，分析了下 dump 还是挺经典的，拿出来给大家分享一下吧。

二、WinDbg 分析

1. 为什么会崩溃

找崩溃原因比较简单，用 !analyze -v 命令观察一下便知。

0:040> !analyze -vCONTEXT:  (.ecxr)eax=0afdf5dc ebx=0698ade8 ecx=00000001 edx=00000000 esi=0698ade8 edi=7eec0000eip=7753c5af esp=0afdf5dc ebp=0afdf62c iopl=0         nv up ei pl nz na po nccs=0023  ss=002b  ds=002b  es=002b  fs=0053  gs=002b             efl=00000202KERNELBASE!RaiseException+0x58:7753c5af c9              leaveResetting default scopeEXCEPTION_RECORD:  (.exr -1)ExceptionAddress: 7753c5af (KERNELBASE!RaiseException+0x00000058)   ExceptionCode: c0020001  ExceptionFlags: 00000001NumberParameters: 1   Parameter[0]: 8007042bPROCESS_NAME:  xxx.exe

从卦中数据看当前崩溃码是 c0020001，查了下码表说是 string绑定无效，截图如下：

图片

这看起来有点无语呀，接下来观察下线程栈。

0:040> .ecxreax=0afdf5dc ebx=0698ade8 ecx=00000001 edx=00000000 esi=0698ade8 edi=7eec0000eip=7753c5af esp=0afdf5dc ebp=0afdf62c iopl=0         nv up ei pl nz na po nccs=0023  ss=002b  ds=002b  es=002b  fs=0053  gs=002b             efl=00000202KERNELBASE!RaiseException+0x58:7753c5af c9              leave0:040> k  *** Stack trace for last set context - .thread/.cxr resets it # ChildEBP RetAddr      00 0afdf62c 70e75e0b     KERNELBASE!RaiseException+0x5801 0afdf648 70f63bf5     clr!COMPlusThrowBoot+0x1a02 0afdf654 70b6f1da     clr!UMThunkStubRareDisableWorker+0x2503 0afdf67c 77a9571e     clr!UMThunkStubRareDisable+0x904 0afdf6bc 77a80f0b     ntdll!RtlpTpTimerCallback+0x7a05 0afdf6e0 77a809b1     ntdll!TppTimerpExecuteCallback+0x10f06 0afdf830 75c4344d     ntdll!TppWorkerThread+0x56207 0afdf83c 77a69802     kernel32!BaseThreadInitThunk+0xe08 0afdf87c 77a697d5     ntdll!__RtlUserThreadStart+0x7009 0afdf894 00000000     ntdll!_RtlUserThreadStart+0x1b

从卦中的线程栈来看，这里利用了 Windows线程池的timer回调，回到 clr 之后主动抛了一个异常。

2. 为什么会主动抛异常

要想知道这个答案需要分析下clr 的源码，简化后如下：

// Disable from a place that is calling into managed code via a UMEntryThunk.extern "C" VOID __stdcall UMThunkStubRareDisableWorker(Thread * pThread, UMEntryThunk * pUMEntryThunk, Frame * pFrame){    // Check for ShutDown scenario.  This happens only when we have initiated shutdown     // and someone is trying to call in after the CLR is suspended.  In that case, we    // must either raise an unmanaged exception or return an HRESULT, depending on the    // expectations of our caller.    if (!CanRunManagedCode())    {        pThread->m_fPreemptiveGCDisabled = 0;        COMPlusThrowBoot(E_PROCESS_SHUTDOWN_REENTRY);    }}BOOL CanRunManagedCode(BOOL fCannotRunIsUserError, HINSTANCE hInst){    // If we are shutting down the runtime, then we cannot run code.    if (g_fForbidEnterEE == TRUE)        return FALSE;    // If we are finaling live objects or processing ExitProcess event,    // we can not allow managed method to run unless the current thread    // is the finalizer thread    if ((g_fEEShutDown & ShutDown_Finalize2) && !GCHeap::GetGCHeap()->IsCurrentThreadFinalizer())        return FALSE;    // If pre-loaded objects are not present, then no way.    if (g_pPreallocatedOutOfMemoryException == NULL)        return FALSE;    return TRUE;}

根据上面的源码，应该就是CanRunManagedCode()函数返回false 导致的，那这个函数真的返回 false 吗？可以用 Windbg 验证下g_fForbidEnterEE 这个变量。

0:040> dp clr!g_fForbidEnterEE L1712a2684  00000001

无语了，这个变量为true表示当前的CLR处于关闭状态，应该是主线程调用了 Exit 方法，用 windbg 可以简单验证下。

0:000> k00 0028d3b0 77549cd4     ntdll!NtQueryAttributesFile+0x1201 0028d3b0 70bf560b     KERNELBASE!GetFileAttributesW+0x7102 0028d3c8 710602a5     clr!CheckFileExistence+0x1a...39 0028ebc0 70d2684b     clr!WaitForEndOfShutdown_OneIteration+0x813a 0028ebc8 70d300e2     clr!WaitForEndOfShutdown+0x1b3b 0028ec08 70d1329e     clr!EEShutDown+0xad3c 0028ec14 70d132fb     clr!HandleExitProcessHelper+0x4d3d 0028ec70 70d2ff99     clr!EEPolicy::HandleExitProcess+0x503e 0028ec70 7115af3b     clr!ForceEEShutdown+0x313f 0028ec70 702a9faf     clr!SystemNative::Exit+0x4f

接下来研究下它要进入到什么托管方法中，这个答案就在 UMEntryThunk.m_pManagedTarget 字段里，参考源码如下：

class UMEntryThunk{private: // The start of the managed code const BYTE* m_pManagedTarget; // This is used for profiling. PTR_MethodDesc m_pMD;}

有了这些前置知识就可以用 windbg 轻松挖掘。

0:040> kb 5 # ChildEBP RetAddr      Args to Child              00 0afdf62c 70e75e0b     c0020001 00000001 00000001 KERNELBASE!RaiseException+0x5801 0afdf648 70f63bf5     006e0fe0 0afdf67c 70b6f1da clr!COMPlusThrowBoot+0x1a02 0afdf654 70b6f1da     0698ade8 00580a38 0698ade8 clr!UMThunkStubRareDisableWorker+0x2503 0afdf67c 77a9571e     00000000 00000001 7d723ac9 clr!UMThunkStubRareDisable+0x904 0afdf6bc 77a80f0b     0afdf71c 006e0fe0 006f6c10 ntdll!RtlpTpTimerCallback+0x7a0:040> dp 00580a38 L200580a38  00386580 008f2eb80:040> !U 00386580Unmanaged code00386580 e9ab390000      jmp     00389f30...0:040> !ip2md 00389f30MethodDesc:   0018af94Method Name:  xxx._checkInput1(IntPtr, Boolean)Class:        00435a7cMethodTable:  0018afd8mdToken:      06000034Module:       0018a6a8IsJitted:     yesCodeAddr:     00389f30Transparency: Critical

通过一顿反解果然是一个托管回调函数，分析到这里ztm的开心哈，感觉马上就要看到光了，仔细找了下代码，果然是借助Windows线程池创建了一个定时事件，无语了，截图如下：

图片

到这里就真相大白了，退出进程的时候一定要先调用C#的Dispose()方法把非托管的Timer给关掉，否则就会出现这种偶发的崩溃异常。

3. 一些题外话

这个dump的错误码非常有误导性，一个是外部的c0020001 ，一个内部的 8007042Bh，尤其是搜内部的 8007042Bh 会把你带入到误区里，让你修复系统文件啥的，其实就是一个固定的死值，没有意义的，参见汇编代码。

0:000> ub 70f63bf5clr!UMThunkStubRareDisableWorker+0x7:70f63bd7 c9              leave70f63bd8 e8d47fc3ff      call    clr!CanRunManagedCode (70b9bbb1)70f63bdd 8b7508          mov     esi,dword ptr [ebp+8]70f63be0 85c0            test    eax,eax70f63be2 7511            jne     clr!UMThunkStubRareDisableWorker+0x25 (70f63bf5)70f63be4 b92b040780      mov     ecx,8007042Bh70f63be9 c7460800000000  mov     dword ptr [esi+8],070f63bf0 e8f721f1ff      call    clr!COMPlusThrowBoot (70e75dec)

所以还是多以代码说话，少道听途说陷入迷途不知返。

三、总结

说实话这个dump分析起来还是挺有难度的，需要你对Windows线程池，clr源码实现有一个基础了解，否则很难构造出完整证据链。

本文链接：http://www.28at.com/showinfo-26-99886-0.html记一次 .NET某酒业业务系统崩溃分析

声明：本网页内容旨在传播知识，若有侵权等问题请及时与本网联系，我们将在第一时间删除处理。邮件：2376512515@qq.com

上一篇： C#开发混合Windows服务和Windows窗体程序

下一篇：从ESB服务组合编排到NetflixConductor微服务编排

标签：

热门焦点

7月安卓手机性价比榜：努比亚+红魔两款新机入榜

7月登场的新机有努比亚Z50S Pro和红魔8S Pro，除了三星之外目前唯二的两款搭载超频版骁龙8Gen2处理器的产品，而且努比亚和红魔也一贯有着不错的性价比，所以在本次的性价比榜单
K8S | Service服务发现

一、背景在微服务架构中，这里以开发环境「Dev」为基础来描述，在K8S集群中通常会开放：路由网关、注册中心、配置中心等相关服务，可以被集群外部访问；图片对于测试「Tes」环境或者
JavaScript学习 -AES加密算法

引言在当今数字化时代，前端应用程序扮演着重要角色，用户的敏感数据经常在前端进行加密和解密操作。然而，这样的操作在网络传输和存储中可能会受到恶意攻击的威胁。为了确保数据
一文掌握 Golang 模糊测试（Fuzz Testing）

模糊测试（Fuzz Testing）模糊测试（Fuzz Testing）是通过向目标系统提供非预期的输入并监视异常结果来发现软件漏洞的方法。可以用来发现应用程序、操作系统和网络协议等中的漏洞或
每天一道面试题-CPU伪共享

前言：了不起：又到了每天一到面试题的时候了！学弟，最近学习的怎么样啊了不起学弟：最近学习的还不错，每天都在学习，每天都在进步！了不起：那你最近学习的什么呢？了不起学弟：最近在学习C
签约井川里予、何丹彤，单视频点赞近千万，MCN黑马永恒文希快速崛起！

来源：视听观察永恒文希传媒作为一家MCN公司，说起它的名字来，可能大家会觉得有点儿陌生，但是说出来下面一串的名字之后，或许大家就会感到震惊，原来这么多网红，都签约这家公司了。根
苹果、三星、惠普等暂停向印度出口笔记本和平板电脑

集微网消息，据彭博社报道，在8月3日印度突然禁止在没有许可证的情况下向印度进口电脑/平板及显示器等产品后，苹果、三星电子和惠普等大公司暂停向印度
iQOO Neo8系列新品发布会

旗舰双芯更强更Pro
外交部：美方应停止在网络安全问题上不负责任地指责他国

　中国外交部今天（16日）举行例行记者会。会上，有记者问，美国情报官员称，他们正在阻拦来自中国以及其他国家的黑客获取相关科研成果。中方对此有何评论？对此