Wow64 filesystem redirection 조심하자

windows가 x64 시스템을 내놓으면서 32bit 응용프로그램들의 호환성을 위해 wow64 에뮬레이션 레이어를 만들어놓은 것을 다들 아실 것입니다. 여러 글들을 읽어보았지만 그 때는 그런갑다 하고 넘어갔습니다. 결국 제 머리속에 남아있는 내용은 wow64 는 32bit 응용 프로그램이 64bit 환경에서 제대로 작동하도록 에뮬레이션 해주는 놈인갑다만 남았습니다. wow64cpu, wow64, 등등 이러한 dll들에 대해서 말이죠. 

오늘도 열심히 삽질을 하고 있는데 어떠한 코드를 분석하고 있었습니다. 코드엔

c:\windows\ntoskrnl.exe 를 메모리로 가져와 무언가 작업을 하고 있었는데 그 주소들이 나타내는 값이 궁금해 IDA64를 켜고 같이 보고 있었습니다. 그런데 IDA64에서 연 ntoskrnl.exe와 프로그램에서 보고 있던 ntoskrnl.exe 의 같은 offset 위치를 보고 있는데 값이 다른 것입니다.

WOW64 파일시스템 리다이렉션에 의해 system32가 SysWOW64로 바뀐건데.. 이걸 알지 못하고 20분은 해맨거 같군요 ㅋㅋ

Wow64DisableWow64FsRedirection / Wow64RevertWow64FsRedirection 를 써서 해도 되고!

그냥 어플을 64bit로 만들어도 됩니다. =_=;

결론 뒷북이었지만 항상 글로만 읽다가 실제로 겪어보니 살짝 멘붕이었습니다.

역시 백번 듣는거 보다 한번 보는게 낫다는 속담이 뼈져리게 느끼는 날이네요 :D

이제 더이상의 이런 실수는 없습니다.

역시 경험이 최고입니다. ^^b