发帖
翼度科技»论坛 › 编程开发 › .net › 查看内容

记一次 .NET 某医疗住院系统 崩溃分析

三十儿立

11

主题

11

帖子

33

积分

新手上路

Rank: 1

积分
33
显示全部楼层
一：背景

1. 讲故事

最近收到了两起程序崩溃的dump，查了下都是经典的 double free 造成的，蛮有意思，这里就抽一篇出来分享一下经验供后面的学习者避坑吧。
二：WinDbg 分析

1. 崩溃点在哪里

windbg 带了一个自动化分析命令 !analyze -v 可以帮助我们找到崩溃时的程序指令地址以及崩溃的代码，这对我们分析问题非常有帮助。
  1. 0:090> !analyze -v
  2. *******************************************************************************
  3. *                                                                             *
  4. *                        Exception Analysis                                   *
  5. *                                                                             *
  6. *******************************************************************************
  7. CONTEXT:  (.ecxr)
  8. rax=00007ffec265d6e0 rbx=00000000c0000374 rcx=00000053653fe4f0
  9. rdx=00007ffec1d3e9a0 rsi=0000000000000001 rdi=00007ffed7b827f0
  10. rip=00007ffed7b1b349 rsp=00000053653fed10 rbp=000001c14fd20000
  11. r8=000001c11957d9a0  r9=0000000000000033 r10=000001c453dbc7f0
  12. r11=00007ffeb94db004 r12=0000000000000001 r13=000001c12e8526d0
  13. r14=0000000000000000 r15=000001ce25531c60
  14. iopl=0         nv up ei pl nz na po nc
  15. cs=0033  ss=002b  ds=002b  es=002b  fs=0053  gs=002b             efl=00000206
  16. ntdll!RtlReportFatalFailure+0x9:
  17. 00007ffe`d7b1b349 eb00            jmp     ntdll!RtlReportFatalFailure+0xb (00007ffe`d7b1b34b)
  18. Resetting default scope
  20. EXCEPTION_RECORD:  (.exr -1)
  21. ExceptionAddress: 00007ffed7b1b349 (ntdll!RtlReportFatalFailure+0x0000000000000009)
  22.    ExceptionCode: c0000374
  23.   ExceptionFlags: 00000001
  24. NumberParameters: 1
  25.    Parameter[0]: 00007ffed7b827f0
  27. PROCESS_NAME:  w3wp.exe
  28. ...
复制代码
熟悉 windows ntheap 的朋友应该知道，ExceptionCode: c0000374 是经典的 堆破坏 状态码，那到底是谁破坏了呢？
2. 到底是谁破坏了NT堆

windows 给了 ntheap 强大的调试支持，默认开启了 Termination on corruption 破坏检测，也就是说当你使用 !heap -s 的时候会显示具体破坏的详情记录，输出如下：
  1. 0:090> !heap -s
  4. ************************************************************************************************************************
  5.                                               NT HEAP STATS BELOW
  6. ************************************************************************************************************************
  7. **************************************************************
  8. *                                                            *
  9. *                  HEAP ERROR DETECTED                       *
  10. *                                                            *
  11. **************************************************************
  13. Details:
  15. Heap address:  000001c14fd20000
  16. Error address: 000001ce25531c50
  17. Error type: HEAP_FAILURE_BLOCK_NOT_BUSY
  18. Details:    The caller performed an operation (such as a free
  19.             or a size check) that is illegal on a free block.
  20. Follow-up:  Check the error's stack trace to find the culprit.
  23. Stack trace:
  24. Stack trace at 0x00007ffed7b82848
  25.     00007ffed7abe109: ntdll!RtlpLogHeapFailure+0x45
  26.     00007ffed7acbb0e: ntdll!RtlFreeHeap+0x9d3ce
  27.     00007ffeb093276f: OraOps12!ssmem_free+0xf
  28.     00007ffeb0943077: OraOps12!OpsMetFreeValCtx+0xd7
  29.     00007ffeb093cdd8: OraOps12!OpsDacDispose+0x2b8
  30.     00007ffe655e4374: +0x655e4374
  32. LFH Key                   : 0x5baf44f8068da60f
  33. Termination on corruption : ENABLED
  34.           Heap     Flags   Reserv  Commit  Virt   Free  List   UCR  Virt  Lock  Fast
  35.                             (k)     (k)    (k)     (k) length      blocks cont. heap
  36. -------------------------------------------------------------------------------------
  37. 000001c14fd20000 00000002 1021576 964388 1020020  19222  6063   166    2    82f   LFH
  38. 000001c14fc70000 00008000      64      4     64      2     1     1    0      0      
  39. ...
复制代码
上面的 Error type: HEAP_FAILURE_BLOCK_NOT_BUSY 表示是一个 double free，从 Stack trace 看是 OpsDacDispose 方法造成的，应该和 Oracle 相关，这就比较迷了。。。
3. 是托管层触发的吗

是不是托管层触发的呢？这就需要理解 Windows 独有的 SEH 异常处理机制，也就是说 Windows 的异常都会在 内核态 走一圈，画个图如下：

只要找到 t1 时刻的崩溃点，然后观察线程栈即可，代码如下：
  1. 0:090> .ecxr
  2. rax=00007ffec265d6e0 rbx=00000000c0000374 rcx=00000053653fe4f0
  3. rdx=00007ffec1d3e9a0 rsi=0000000000000001 rdi=00007ffed7b827f0
  4. rip=00007ffed7b1b349 rsp=00000053653fed10 rbp=000001c14fd20000
  5. r8=000001c11957d9a0  r9=0000000000000033 r10=000001c453dbc7f0
  6. r11=00007ffeb94db004 r12=0000000000000001 r13=000001c12e8526d0
  7. r14=0000000000000000 r15=000001ce25531c60
  8. iopl=0         nv up ei pl nz na po nc
  9. cs=0033  ss=002b  ds=002b  es=002b  fs=0053  gs=002b             efl=00000206
  10. ntdll!RtlReportFatalFailure+0x9:
  11. 00007ffe`d7b1b349 eb00            jmp     ntdll!RtlReportFatalFailure+0xb (00007ffe`d7b1b34b)
  12. 0:090> k
  13.   *** Stack trace for last set context - .thread/.cxr resets it
  14. # Child-SP          RetAddr               Call Site
  15. 00 00000053`653fed10 00007ffe`d7b1b313     ntdll!RtlReportFatalFailure+0x9
  16. 01 00000053`653fed60 00007ffe`d7b23b9e     ntdll!RtlReportCriticalFailure+0x97
  17. 02 00000053`653fee50 00007ffe`d7b23eaa     ntdll!RtlpHeapHandleError+0x12
  18. 03 00000053`653fee80 00007ffe`d7abe109     ntdll!RtlpHpHeapHandleError+0x7a
  19. 04 00000053`653feeb0 00007ffe`d7acbb0e     ntdll!RtlpLogHeapFailure+0x45
  20. 05 00000053`653feee0 00007ffe`b093276f     ntdll!RtlFreeHeap+0x9d3ce
  21. 06 00000053`653fef80 00007ffe`b0943077     OraOps12!ssmem_free+0xf
  22. 07 00000053`653fefb0 00007ffe`b093cdd8     OraOps12!OpsMetFreeValCtx+0xd7
  23. 08 00000053`653fefe0 00007ffe`655e4374     OraOps12!OpsDacDispose+0x2b8
  24. 09 00000053`653ff060 00007ffe`655e31cf     0x00007ffe`655e4374
  25. 0a 00000053`653ff150 00007ffe`6a80969d     0x00007ffe`655e31cf
  26. 0b 00000053`653ff1f0 00007ffe`c4b96d06     0x00007ffe`6a80969d
  27. 0c 00000053`653ff220 00007ffe`c4c30e81     clr!FastCallFinalizeWorker+0x6
  28. 0d 00000053`653ff250 00007ffe`c4c30e09     clr!FastCallFinalize+0x55
  29. 0e 00000053`653ff2a0 00007ffe`c4c30d3a     clr!MethodTable::CallFinalizer+0xb5
  30. 0f 00000053`653ff2f0 00007ffe`c4c30bf5     clr!CallFinalizer+0x5e
  31. 10 00000053`653ff330 00007ffe`c4c304dc     clr!FinalizerThread::DoOneFinalization+0x95
  32. 11 00000053`653ff410 00007ffe`c4c31777     clr!FinalizerThread::FinalizeAllObjects+0xbf
  33. 12 00000053`653ff450 00007ffe`c4b97d01     clr!FinalizerThread::FinalizeAllObjects_Wrapper+0x18
  34. 13 00000053`653ff480 00007ffe`c4b97c70     clr!ManagedThreadBase_DispatchInner+0x39
  35. 14 00000053`653ff4c0 00007ffe`c4b97bad     clr!ManagedThreadBase_DispatchMiddle+0x6c
  36. 15 00000053`653ff5c0 00007ffe`c4b9ac34     clr!ManagedThreadBase_DispatchOuter+0x75
  37. 16 00000053`653ff650 00007ffe`c4bf5271     clr!ManagedThreadBase_DispatchInCorrectAD+0x15
  38. 17 00000053`653ff680 00007ffe`c4b9ac72     clr!Thread::DoADCallBack+0x109
  39. 18 00000053`653ff830 00007ffe`c4c3172a     clr!ManagedThreadBase_DispatchInner+0x82
  40. 19 00000053`653ff870 00007ffe`c4c304dc     clr!FinalizerThread::DoOneFinalization+0x1f1
  41. 1a 00000053`653ff950 00007ffe`c4c3062b     clr!FinalizerThread::FinalizeAllObjects+0xbf
  42. 1b 00000053`653ff990 00007ffe`c4b97d01     clr!FinalizerThread::FinalizerThreadWorker+0xbb
  43. 1c 00000053`653ff9d0 00007ffe`c4b97c70     clr!ManagedThreadBase_DispatchInner+0x39
  44. 1d 00000053`653ffa10 00007ffe`c4b97bad     clr!ManagedThreadBase_DispatchMiddle+0x6c
  45. 1e 00000053`653ffb10 00007ffe`c4cf4d4a     clr!ManagedThreadBase_DispatchOuter+0x75
  46. 1f 00000053`653ffba0 00007ffe`c4d5044f     clr!FinalizerThread::FinalizerThreadStart+0x126
  47. 20 00000053`653ffc40 00007ffe`d6157e94     clr!Thread::intermediateThreadProc+0x86
  48. 21 00000053`653ffd00 00007ffe`d7a87ad1     kernel32!BaseThreadInitThunk+0x14
  49. 22 00000053`653ffd30 00000000`00000000     ntdll!RtlUserThreadStart+0x21
  51. 0:090> !clrstack
  52. OS Thread Id: 0x5634 (90)
  53.         Child SP               IP Call Site
  54. 00000053653ff0b8 00007ffed7abf0e4 [InlinedCallFrame: 00000053653ff0b8] Oracle.DataAccess.Client.OpsDac.Dispose(IntPtr, IntPtr, IntPtr, IntPtr ByRef, Oracle.DataAccess.Client.OpoMetValCtx*, Oracle.DataAccess.Client.OpoDacValCtx* ByRef, Oracle.DataAccess.Client.OpoSqlValCtx*, Int32, Int32)
  55. 00000053653ff0b8 00007ffe655e4374 [InlinedCallFrame: 00000053653ff0b8] Oracle.DataAccess.Client.OpsDac.Dispose(IntPtr, IntPtr, IntPtr, IntPtr ByRef, Oracle.DataAccess.Client.OpoMetValCtx*, Oracle.DataAccess.Client.OpoDacValCtx* ByRef, Oracle.DataAccess.Client.OpoSqlValCtx*, Int32, Int32)
  56. 00000053653ff060 00007ffe655e4374 DomainNeutralILStubClass.IL_STUB_PInvoke(IntPtr, IntPtr, IntPtr, IntPtr ByRef, Oracle.DataAccess.Client.OpoMetValCtx*, Oracle.DataAccess.Client.OpoDacValCtx* ByRef, Oracle.DataAccess.Client.OpoSqlValCtx*, Int32, Int32)
  57. 00000053653ff150 00007ffe655e31cf Oracle.DataAccess.Client.OracleDataReader.Dispose(Boolean)
  58. 00000053653ff1f0 00007ffe6a80969d Oracle.DataAccess.Client.OracleDataReader.Finalize()
  59. 00000053653ff608 00007ffec4b96d06 [DebuggerU2MCatchHandlerFrame: 00000053653ff608]
  60. 00000053653ff788 00007ffec4b96d06 [ContextTransitionFrame: 00000053653ff788]
  61. 00000053653ff8d0 00007ffec4b96d06 [GCFrame: 00000053653ff8d0]
  62. 00000053653ffb58 00007ffec4b96d06 [DebuggerU2MCatchHandlerFrame: 00000053653ffb58]
复制代码
从调用栈来看，原来是 终结器线程 在调用 OracleDataReader.Dispose() 方法的时候抛的异常，这个结果还是挺意外的，也就是说这个问题不是用户代码造成的，真的是 Oracle 这个 OraOps12.dll 造成的。。。
接下来用 lm 观察下这个 dll 的详情信息，输出如下：
  1. 0:090> lmDvmOraOps12
  2. Browse full module list
  3. start             end                 module name
  4. 00007ffe`b0920000 00007ffe`b098c000   OraOps12 C (export symbols)       OraOps12.dll
  5.     Loaded symbol image file: OraOps12.dll
  6.     Image path: C:\ODAC\xxxx\OraOps12.dll
  7.     Image name: OraOps12.dll
  8.     Browse all global symbols  functions  data
  9.     Timestamp:        Sat Sep 26 23:16:56 2015 (5606B6E8)
  10.     CheckSum:         00000000
  11.     ImageSize:        0006C000
  12.     File version:     2.121.2.0
  13.     Product version:  2.121.2.0
  14.     File flags:       0 (Mask 3F)
  15.     File OS:          4 Unknown Win32
  16.     File type:        2.0 Dll
  17.     File date:        00000000.00000000
  18.     Translations:     0409.04b0
  19.     Information from resource tables:
  20.         CompanyName:      Oracle Corporation
  21.         ProductName:      Oracle Data Provider for .NET
  22.         InternalName:     OraOps
  23.         OriginalFilename: OraOps12.dll
  24.         ProductVersion:   2.121.2.0 ODAC RELEASE 4
  25.         FileVersion:      2.121.2.0
  26.         FileDescription:  Oracle Provider Services
  27.         LegalCopyright:   Copyright © 2014
复制代码
虽然对 Oracle 不熟，但从 Timestamp:        Sat Sep 26 23:16:56 2015 来看应该是一个比较老的 DLL 了，所以给到朋友的建议就是升级 OraOps12.dll 。
4. 是否有同行者

有时候直接让朋友升级dll有点缺少底气，最好就是找到一些同行者，经过一顿搜索，还真有同行者，又多了一份说服力，网址： https://techcommunity.microsoft.com/t5/iis-support-blog/w3wp-exe-crash-exception-code-0xc0000005/ba-p/334351 。

三：总结

在百加dump的分析旅程中，碰到和 Oracle SDK 相关的也有 3+ 起了，可能也许这些 SDK 在对接 .NET 上还不是特别稳健，大家在使用上尽量更新到最新版本吧，且用且珍惜！

来源:https://www.cnblogs.com/huangxincheng/archive/2023/03/23/17248323.html
免责声明：由于采集信息均来自互联网，如果侵犯了您的权益，请联系我们【E-Mail:cb@itdo.tech】 我们会及时删除侵权内容，谢谢合作！

本帖子中包含更多资源

您需要 登录 才可以下载或查看，没有账号？立即注册

x

上一篇: .net core 关于对swagger的UI（Index.html）或接口的权限验证；

下一篇: Redis分布式缓存系列（七）- ServiceStack破解、布隆过滤器、缓存雪崩、缓

发表于 2023-3-23 21:13:14

举报 回复 使用道具

返回列表 发新帖

Archiver|手机版|小黑屋|翼度科技

Copyright © 2001-2020, Tencent Cloud.　Powered by Discuz! X3.4