探索 dotnet core 為何在 Windows7 系統需要補丁的原因

lindexi發表於2022-01-05

在一些 Windows 7 系統上，根據 dotnet 官方文件，需要安裝上 KB2533623 補丁，才能執行 dotnet core 或 .NET 5 等應用。儘管非所有的裝置都需要安裝此，但這也讓應用的分發不便，安裝包上都需要帶上補丁給使用者安裝。此補丁同時也要求安裝完成之後重啟系統，這對使用者端來說，也是較不方便。本文來聊聊為什麼 dotnet core 一系的框架依賴於此補丁

特別感謝 lsj 給我講解 Win32 呼叫部分的知識和幫我調查具體的原因，我只是記錄的工具人

補丁

開始之前，先來理一下所需補丁的情況，不想看補丁細節還請跳到下文主題這章。準確來說，在當前 2021.12.25 官方推薦 Win7 系統打上的補丁是 KB3063858 補丁

KB3063858: MS15-063：Windows 核心中的漏洞可能允許特權提升：2015 年 6 月 9 日
此安全更新可解決 Windows 中的一個漏洞。如果使用者訪問包含特殊設計的檔案的網路共享（或指向網路共享的網站）時，此漏洞可能允許特權提升。但是在所有情況下，攻擊者都無法強制使用者訪問此類網路共享或網站。

也有夥伴推薦給我的是安裝 KB4457144 補丁。但是 KB4457144 補丁太大了，包含太多內容，帶上這個補丁沒什麼優勢

KB4457144: 2018 年 9 月 11 日 - KB4457144（月度彙總）

在 GitHub 上的 Security update KB2533623 no longer available · Issue #20459 · dotnet/docs 討論上，有大佬表示 KB3063858 或 KB4457144 包含了 KB2533623 補丁內容：

The thread claims that KB2533623 is superseded by KB3063858 or KB4457144. https://github.com/dotnet/docs/issues/20459#issuecomment-689513876

值得一說的是對需要安裝 KB3063858 補丁的系統來說，大多數都需要額外加上證書，參閱 https://www.microsoft.com/pkiops/Docs/Repository.htm 因此我認為對於客戶端分發來說，打上 KB2533623 補丁似乎更好。但是 KB2533623 當前被微軟下架了，請看 Security update KB2533623 no longer available · Issue #20459 · dotnet/docs

這是 KB2533623 的下載地址: http://www.microsoft.com/download/details.aspx?familyid=c79c41b0-fbfb-4d61-b5d8-cadbe184b9fc

另外，在剛推送 dotnet core 3.0 的預覽版本時，有夥伴在 WPF 官方倉庫反饋說需要加上 KB2999226 補丁。此 KB2999226 補丁是 Windows 中的 Universal C Runtime 更新 的內容，參閱 https://github.com/dotnet/wpf/issues/2009#issuecomment-543872453

也許可以使用 runtime.win7-x64.Microsoft.NETCore.Windows.ApiSets NuGet 庫代替 KB2999226 補丁內容，只需要將 api-xxxxx.dll 這些檔案拷貝到輸出路徑即可。或者是解包 VC++ 2015 的分發包裡的檔案，將 api-xxxxx.dll 和 ucrtbase.dll 拷貝到輸出路徑即可

因此，對於客戶端分發來說，似乎採用 KB2533623 最小補丁，然後在輸出路徑上拷貝好 api-xxxxx.dll 這些檔案到輸出路徑是最佳方法

下載地址：

KB2533623 x86
- MD5： EDF1D538C85F24EC0EF0991E6B27F0D7
- SHA1： 25BECC0815F3E47B0BA2AE84480E75438C119859
KB2533623 x64
- MD5： 0A894C59C245DAD32E6E48ECBDBC8921
- SHA1： 8A59EA3C7378895791E6CDCA38CC2AD9E83BEBFF
KB3063858 32-bit
KB3063858 64-bit

主題

清理好了各個補丁的關係之後，我們回到主題。為什麼在 dotnet core 一系都有此要求？而且還不是對所有 Win7 系統都有此要求，這是為什麼？回答這兩個問題，可以從 dotnet core 的 dotnet host core run 開始聊起

在 Windows 下，我們雙擊執行的 dotnet core 的可執行 exe 檔案，其實是一個 AppHost 檔案。我們編寫的 Main 函式，在非單檔案模式下，是放在同名的 dll 裡面。詳細關於 AppHost 請參閱 dotnet core 應用是如何跑起來的通過AppHost理解執行過程

在 dotnet host core run 裡，對應程式碼是 src\coreclr\hosts\corerun\corerun.hpp 檔案，在這裡需要拉起 hostpolicy.dll 元件。載入此元件的程式碼如下，不過程式碼內容不重要哈

    inline bool try_load_hostpolicy(pal::string_t mock_hostpolicy_value)
    {
        const char_t* hostpolicyName = W("hostpolicy.dll");
        pal::mod_t hMod = (pal::mod_t)::GetModuleHandleW(hostpolicyName);
        if (hMod != nullptr)
            return true;

        // Check if a hostpolicy exists and if it does, load it.
        if (pal::does_file_exist(mock_hostpolicy_value))
            hMod = (pal::mod_t)::LoadLibraryExW(mock_hostpolicy_value.c_str(), nullptr, LOAD_LIBRARY_SEARCH_DLL_LOAD_DIR | LOAD_LIBRARY_SEARCH_DEFAULT_DIRS);

        if (hMod == nullptr)
            pal::fprintf(stderr, W("Failed to load mock hostpolicy at path '%s'. Error: 0x%08x\n"), mock_hostpolicy_value.c_str(), ::GetLastError());

        return hMod != nullptr;
    }

以上最關鍵的只有這一行程式碼 LoadLibraryExW(mock_hostpolicy_value.c_str(), nullptr, LOAD_LIBRARY_SEARCH_DLL_LOAD_DIR | LOAD_LIBRARY_SEARCH_DEFAULT_DIRS)

以上程式碼通過 LoadLibraryExW 函式進行載入庫。呼叫時傳入了 LOAD_LIBRARY_SEARCH_DLL_LOAD_DIR 引數。根據官方文件的描述，呼叫此函式，如果加入了 LOAD_LIBRARY_SEARCH_DLL_LOAD_DIR 引數，將要求 KB2533623 補丁

If this value is used, the directory that contains the DLL is temporarily added to the beginning of the list of directories that are searched for the DLL's dependencies. Directories in the standard search path are not searched.
The lpFileName parameter must specify a fully qualified path. This value cannot be combined with LOAD_WITH_ALTERED_SEARCH_PATH.
For example, if Lib2.dll is a dependency of C:\Dir1\Lib1.dll, loading Lib1.dll with this value causes the system to search for Lib2.dll only in C:\Dir1. To search for Lib2.dll in C:\Dir1 and all of the directories in the DLL search path, combine this value with LOAD_LIBRARY_DEFAULT_DIRS.

Windows 7, Windows Server 2008 R2, Windows Vista and Windows Server 2008: This value requires KB2533623 to be installed.
Windows Server 2003 and Windows XP: This value is not supported

除以上邏輯之外，在 dotnet 倉庫裡還可以找到其他的各個部分的 LoadLibraryExW 函式上，也都帶上了 LOAD_LIBRARY_SEARCH_DLL_LOAD_DIR 引數，列表如下：

src\coreclr\dlls\dbgshim\dbgshim.cpp: CreateDebuggingInterfaceFromVersion2 函式
src\coreclr\hosts\corerun\corerun.hpp: try_load_hostpolicy 函式
src\coreclr\hosts\coreshim\CoreShim.cpp: TryLoadHostPolicy 函式
src\coreclr\vm\nativelibrary.cpp: DetermineLibNameVariations 函式
src\native\corehost\hostmisc\pal.windows.cpp: load_library 函式

看起來檔案不多，就看哪個夥伴想不開就去改改挖坑吧

此 LoadLibraryExW 函式是放在 Kernel32.dll 的，相同的需求，在 dotnet core 裡也間接依賴於 AddDllDirectory 和 SetDefaultDllDirectories 和 RemoveDllDirectory 等方法。如官方文件描述，剛好這些方法也都相同依賴 KB2533623 補丁

Windows 7, Windows Server 2008 R2, Windows Vista and Windows Server 2008: To use this function in an application, call GetProcAddress to retrieve the function's address from Kernel32.dll. KB2533623 must be installed on the target platform.

通過如上描述，可以瞭解到，在 dotnet core 需要補丁的原因是呼叫了 Kernel32.dll 的新（大約10年前加的）函式，對於一些 Win7 舊裝置上，沒有更新 Kernel32.dll 加上函式

因此，判斷 dotnet core 所依賴環境可以有兩個方法，第一個方法是判斷 KB2533623 補丁是否有安裝，另一個方法是判斷 Kernel32.dll 裡是否存在 AddDllDirectory 函式。第一個方法判斷是不靠譜的，因為不一定需要 KB2533623 補丁，如上文描述，換成其他幾個補丁也可以。判斷補丁安裝可以使用下面命令列程式碼，更多請參閱 dotnet 通過 WMI 獲取系統補丁和 PowerShell 通過 WMI 獲取補丁

BAT:

wmic qfe GET hotfixid | findstr /C:"KB2533623"

另外，判斷是否存在 KB2533623 補丁，不存在則安裝的 bat 指令碼程式碼如下

echo off
cd /d %~dp0
wmic qfe GET hotfixid | findstr /C:"KB2533623"
if %errorlevel% equ 0 (Echo Patch KB2533623 installed) else (
wusa Windows6.1-KB2533623-x64.msu /quiet /norestart
wusa Windows6.1-KB2533623-x86.msu /quiet /norestart
exit /b 1
)
exit /b 0

第二個方法我比較推薦，判斷程式碼如下：

using PInvoke;
using System;

namespace AddDllDirectoryDetectCs
{
    class Program
    {
        static void Main(string[] args)
        {
            using (var hModule = Kernel32.LoadLibrary("Kernel32.dll"))
            {
                if (!hModule.IsInvalid)
                {
                    IntPtr hFarProc = Kernel32.GetProcAddress(hModule, "AddDllDirectory");
                    if (hFarProc != IntPtr.Zero)
                    {
                        Console.WriteLine("Either running on Win8+, or KB2533623 is installed");
                    }
                    else
                    {
                        Console.Write("Likely running on Win7 or older OS, and KB2533623 is not installed");
                    }
                }
            }

            // 以下是判斷 Universal C Runtime 的邏輯，可以忽略
            using (var hModule = Kernel32.LoadLibraryEx("UCRTBASE.dll", IntPtr.Zero, Kernel32.LoadLibraryExFlags.LOAD_LIBRARY_SEARCH_SYSTEM32))
            {
                if (!hModule.IsInvalid)
                {
                    Console.WriteLine("UCRT is available - Either running on Win10+ or KB2999226 is installed");
                }
                else
                {
                    Console.WriteLine("UCRT is not available - Likely running on OS older than Win10 and KB2999226 is not installed");
                }
            }
        }
    }
}

以上程式碼由 WPF 框架官方開發 Vatsan Madhavan 大佬提供，請看 vatsan-madhavan/checknetcoreprereqs: Helper utility to check .NET Core Prerequisites on Windows systems