c# - 64位VMWare检测代码触发断点

Question

我正在 .NET 2.0 C# 控制台项目中执行 VMWare 检测。检测代码在 C 中作为 DLL 中的导出函数实现，该 DLL 使用 P/Invoke 从 C# 代码中调用。 C# 代码被编译为 x86 和 x64 为两个单独的可执行文件。 C DLL 也为这两个平台编译。这是导出的函数:

PUBLIC Int32 __declspec(nothrow) WINAPI GetVMType ()
{
    Int32 nVMWareType = 0;

    try
    {
        if ( !IsInVMWare ( nVMWareType ) )
        {
            ... // allocate memory, write data, etc.
        }
    }
    catch ( ... )
    {
        nVMWareType = -1;
    }

    return ( nVMWareType );
} // <-- breakpoint happens here

我有以下使用内联汇编进行 VMWare 检测的代码:

PRIVATE Bool IsInVMWare ( Int32& nType )
{
    Bool bResult = false;
    Int32 nVersion = -1;
    nType = -1;

    __try
    {
        #ifndef _WIN64 // 32-bit detection
        __asm
        {
            push    edx
            push    ecx
            push    ebx

            mov     eax, 'VMXh'
            mov     ebx, 0          // anything but 'VMXh'
            mov     ecx, 10         // get VMWare version
            mov     edx, 'VX'       // port number
            in      eax, dx         // read port
            cmp     ebx, 'VMXh'     // is it a reply from VMWare?
            je      lblInVMWare

            xor     ecx, ecx        // not in VMWare - clear return value

        lblInVMWare:
            mov     [nVersion], ecx // vmware product type
            pop     ebx
            pop     ecx
            pop     edx
        }
        #else
        nVersion = GetVMWareVersion (); // 64-bit detection
        #endif

        nType = nVersion;

        if ( nType > 0 )
            bResult = true;
    }
    __except ( EXCEPTION_EXECUTE_HANDLER )
    {
        bResult = false;
    }

    return ( bResult );
}

64位检测代码在汇编中实现为GetVMWareVersion():

PUBLIC GetVMWareVersion
    .CODE
    ALIGN   8

GetVMWareVersion PROC

    push    rbp
    mov     rbp, rsp

    push    rdx
    push    rcx
    push    rbx

    mov     rax, 'VMXh'
    mov     rbx, 0       ; anything but 'VMXh'
    mov     rcx, 10      ; get VMWare version
    mov     rdx, 'VX'    ; port number
    in      rax, dx      ; read port
    cmp     ebx, 'VMXh'  ; is it a reply from VMWare?
    je      $0@GetVMWareVersion

    xor     rax, rax     ; not in VMWare - clear return value
    jmp     $1@GetVMWareVersion

$0@GetVMWareVersion:
    mov     rax, rcx     ; VMWare product type

$1@GetVMWareVersion:
    pop     rbx
    pop     rcx
    pop     rdx

    mov     rsp, rbp
    pop     rbp
    ret

GetVMWareVersion ENDP

END

32 位检测代码在非 VM Windows 7 上运行良好。当 64 位版本运行时(相同环境)，它会触发具有以下调用堆栈的 DebugBreak() 调用:

KernelBase.dll!DebugBreak() + 0x2 bytes
[Frames below may be incorrect and/or missing, no symbols loaded for KernelBase.dll]
mscorwks.dll!PreBindAssembly() + 0x9ce69 bytes
mscorwks.dll!PreBindAssembly() + 0x9d28e bytes
mscorwks.dll!CreateApplicationContext() + 0x769d bytes
mscorwks.dll!StrongNameTokenFromPublicKey() + 0x64f8 bytes
mscorwks.dll!StrongNameTokenFromPublicKey() + 0x66ff bytes
mscorwks.dll!CreateApplicationContext() + 0x7f62 bytes
ntdll.dll!vsprintf_s() + 0x12b bytes
ntdll.dll!RtlUnwindEx() + 0x852 bytes
ntdll.dll!KiUserExceptionDispatcher() + 0x2e bytes
mscorwks.dll!IEE() + 0xd285 bytes
cccccccccccccccc()
0000000000d78180()
cccccccccccccccc()

当我在 Visual Studio 中调试 C DLL 时，我在输出窗口中也有这个:

First-chance exception at 0x000007feedbdfad1 (mscorwks.dll) in MyApp.exe:
    0xC0000005: Access violation reading location 0xffffffffffffffff.

每隔一段时间(不总是)我也会在事件日志中得到这个:

.NET Runtime version 2.0.50727.5456 - Fatal Execution Engine Error
    (000007FEEDB27916) (80131506)

我完全不知道为什么会这样。我做了很多搜索，但找不到任何似乎适用于这个问题的东西。一些站点建议切换到 .NET 4.0，但这不是一个选项。

我分析了 GetVMType () 中的所有代码 - 它执行一些内存分配并将数据写入动态分配的数组，但该代码是正确的:所有内存都被释放并且没有内存被错误地覆盖。

如果我修改 64 位汇编代码以跳过 in 指令，则不会触发断点。作为 32 位代码运行时，这不是问题。

调用 C# 程序有一个顶级异常处理程序和一个用于 UnhandledException 事件的事件处理程序，但是当这个问题发生时，应用程序只是退出 - 没有调用任何处理程序。

有谁知道这个设置可能有什么问题吗？我花了几个小时调试并试图查看发生了什么，但是当 in 指令执行后 P/Invoke 调用返回时，.NET 内部似乎有什么东西中断了。

Answer 1

我的猜测是您的函数破坏了寄存器。

在真实硬件(非 VM)上运行应该可能会在“in rax, dx”处触发异常。如果发生这种情况，那么控制权将传递给您的异常处理程序，该处理程序会设置结果，但不会恢复寄存器。这种行为将完全出乎调用者的意料。例如，它可以将一些东西保存到 EBX/RBX 寄存器中，然后调用你的 asm 代码，你的 asm 代码执行“mov RBX，0”，它执行，捕获异常，设置结果，返回 - 然后调用者突然意识到他保存的数据不再在 EBX/RBX 中了!如果在 EBX/RBX 中存储了一些指针——你会崩溃的。任何事情都有可能发生。

当然，您的 asm 代码会保存/恢复寄存器，但这只会在没有引发异常时发生。 IE。如果您的代码在 VM 上运行。然后您的代码执行其正常执行路径，不会引发异常，寄存器将正常恢复。但如果有异常 - 您的 POP 将被跳过，因为执行将传递给异常处理程序。

如果这是真的，那么您的 32 位代码也不起作用。如果它在工作 - 那么它只能通过共存发生。 IE。纯属偶然。而这种机会是，如果 32 位代码的可用寄存器较少，有人在调用您的 asm 代码之前已经保存/恢复了寄存器。

正确的代码可能应该在 try/except block 之外执行 PUSH/POP，而不是在内部。