PE (윈도우용 실행 파일 포맷) 관련 코드를 작성하다가 지금까지 몰랐던 사실을 하나 알게되어 지금까지 나만 그랬던 것인지 알고싶어, 퀴즈를 하나 내보려고 합니다. ^^;;

보통 PE 를 다루는 코드는 아래의 코드 처럼
CreateFile() -> CreateFileMapping() -> MapViewOfFile()
API 를 호출해서 file 에 대한 포인터를 구한다음 어쩌구 저쩌구 처리를 하죠.

지금까지 저도 별 생각없이 이런식으로 처리했었는데요. 오늘 유닛테스트를 하다가 심각한 문제가 있음을 깨달았습니다.
Exception 에 의한 crash 가 발생할 수도 있는 버그입니다.
데체 뭘까요?
( SafeHandle 객체는 그냥 resource 관리를 위한 객체이니 신경쓰지 마시구요 ^^)

ps. 최초로 정답을 맞추시는 분께는 ... 박수쳐드릴께요. -_-;;

BOOL CheckPE(LPCTSTR path)
{
    HANDLE hFile = CreateFile(
                        (LPCTSTR)path, 
                        GENERIC_READ, 
                        FILE_SHARE_READ | FILE_SHARE_WRITE,
                        NULL, 
                        OPEN_EXISTING, 
                        FILE_ATTRIBUTE_NORMAL, 
                        NULL);
    if (INVALID_HANDLE_VALUE == hFile) return FALSE;
    SafeHandle sfFile(hFile);

    HANDLE hImageMap = CreateFileMapping(
                        hFile, 
                        NULL, 
                        PAGE_READONLY, 
                        0, 
                        0, 
                        NULL);
    if (NULL == hImageMap) return FALSE;
    SafeHandle sfMap(hImageMap);
    
    PBYTE ImageView = (LPBYTE) MapViewOfFile(
                        hImageMap, 
                        FILE_MAP_READ, 
                        0,
                        0, 
                        0);
    if(ImageView == NULL) return FALSE;
    SafeView sfView(ImageView);
    
    // IMAGE_DOS_HEADER check
    //
    PIMAGE_DOS_HEADER idh = (PIMAGE_DOS_HEADER)ImageView;
    if(idh->e_magic != IMAGE_DOS_SIGNATURE) return FALSE;
    
    // IMAGE_NT_HEADERS check
    //
    PIMAGE_NT_HEADERS inh = (PIMAGE_NT_HEADERS) ((DWORD_PTR)idh + idh->e_lfanew);
    if (IMAGE_NT_SIGNATURE != inh->Signature) return FALSE;
    
    // blah..blah..
    //    
}

---

jz 님께서 답을 맞추주셨습니다. ~~ 짝짝 ~~ 박수~~
아래는 수정된 코드 입니다.

CHECK #1 에서는 이 파일이 만일 PE  파일의 최소 사이즈를 검사합니다.
대상이 PE 라면 적어도 IMAGE_DOS_HEADER 크기 보단 클테니까요.

CHECK #2 에서는 dos file 사이즈를 검사합니다.
e_cp 는 파일이 차지하는 페이지의 수이고, e_cblp 는 마지막 페이지의 바이트 수입니다.
따라서 PE 라면 (IMAGE_DOS_HEADER::e_cp * PAGE_SIZE)  이상의 크기이어야 합니다.

CHECK #3 에서는 e_lfanew 오프셋에 대한 유효성 검사를 합니다.
당연히 해야겠죠. :-)

예전에 작성한 코드엔 저런 예외처리 코드가 없었는데, 심심이 코드를 보니 다 처리하고 있었더군요.
매번 까먹는 제 머리가 문제였던것이군요. -_-;;

BOOL CheckPE(LPCTSTR path)
{
    HANDLE hFile = CreateFile(
                        (LPCTSTR)path, 
                        GENERIC_READ, 
                        FILE_SHARE_READ | FILE_SHARE_WRITE,
                        NULL, 
                        OPEN_EXISTING, 
                        FILE_ATTRIBUTE_NORMAL, 
                        NULL);
    if (INVALID_HANDLE_VALUE == hFile) return FALSE;
    SafeHandle sfFile(hFile);

    // CHECK #1 file size
    // - 최소한 IMAGE_DOS_HEADER 보단 클 테니 ..
    //
    LARGE_INTEGER fileSize;
    if (TRUE != GetFileSizeEx(hFile, &fileSize)) return FALSE;
    if (sizeof(IMAGE_DOS_HEADER) > fileSize.QuadPart) return FALSE; 

    HANDLE hImageMap = CreateFileMapping(
                        hFile, 
                        NULL, 
                        PAGE_READONLY, 
                        0, 
                        0, 
                        NULL);
    if (NULL == hImageMap) return FALSE;
    SafeHandle sfMap(hImageMap);
    
    PBYTE ImageView = (LPBYTE) MapViewOfFile(
                        hImageMap, 
                        FILE_MAP_READ, 
                        0,
                        0, 
                        0);
    if(ImageView == NULL) return FALSE;
    SafeView sfView(ImageView);
    
    PIMAGE_DOS_HEADER idh = (PIMAGE_DOS_HEADER)ImageView;
    if(idh->e_magic != IMAGE_DOS_SIGNATURE) return FALSE;
    
    // CHECK #2 check DOS file size
    // 
    DWORD dosSize = (idh->e_cp * 512);
    if (dosSize > fileSize.QuadPart) return FALSE;

    // CHECK #3 check e_lfanew offset
    // 
    if (TRUE == IsBadReadPtr((idh + idh->e_lfanew), sizeof(DWORD)/* sizeof (IMAGE_NT_SIGNATURE) */)) return FALSE;

    PIMAGE_NT_HEADERS inh = (PIMAGE_NT_HEADERS) ((DWORD_PTR)idh + idh->e_lfanew);
    if (IMAGE_NT_SIGNATURE != inh->Signature) return FALSE;
    
    // blah..blah..
    //    
}