커널 단위 메모리 누수 확인(poolmon, RAMMap, Process Explorer)

poolmon 커널 단위 메모리 누수 확인

 

시스템 관리하다보면 커널 단위 메모리 누수가 발생하는 경우가 발생합니다. 

- 오래된 하드웨어 드라이버

- NT계열 서버 온라인이 아닌 상태에서 누수

- 실시간 감시 보안프로그램 메모리 누수

 

PoolMon 메모리 풀 모니터를 통해 운영체제 Paged Pool, Nonpaged Pool 실시간 메모리 할당 현황을 보며, 과도하게 할당되는 프로세스를 찾아갈수 있습니다.

 

- Nonpaged Pool
   Windows운영체제에서 커널모드 컴포넌트(드라이버, 백신)가 사용하는 메모리 풀로, 항상 물리 메모리에 상주하며 디스크와 스왑을 불가능한 고정된 메모리 영역
   누수로 커널 객체가 많아지면, 그에 대응하는 가상 주소 매핑이 필요하므로 Page Table도 증가함.
-  Page Table
   가상 메모리 주소를 물리 메모리로 매핑하는데 사용,  누수가 발생하는 프로세스(백신,드라이버)가 커널 객체를 과도하게 생성하고 해제하지 않으면, 해당 객체에 대한 페이지 매핑이 계속 누적되면서 용량이 커질수 있음, 특히 백신 실시간 감시 기능인경우 커널 레벨에서 파일 시스템 필터 드라이버를 사용하기에 누적되는 경우가 많음

 

 

PoolMon을 Windows Driver Kit에 포함되어 있는 유틸리티입니다.

아래 링크를 통해 다운로드 가능하지만, PoolMon옵션을 배치파일로 구성해서 사용합니다.

 

https://learn.microsoft.com/ko-kr/windows-hardware/drivers/devtest/poolmon

PoolMon - Windows drivers

 

x64, x86 버전

 

x64.zip

0.08MB

 

x86.zip

0.08MB

 

01_byte정렬.bat (byte 정렬)

 

02)tag설명_byte정렬.bat (pooltag.txt를 통한 드라이버파일을 유추)

 

 

memory leak 의심되는 tag를 findstr로 파일 찾기

findstr /S /M /L FMfn C:\Windows\System32\Drivers\*.sys

 

 

findstr /S /M /L NtfF c:\*.sys

 

 

 

 

 

커널 메모리 누수 경험으로는 Nonpaged Pool 6GB, Page Table 4GB를 점유하고 있던 상황

점검절차로는 poolmon으로 찾을수 있으면 좋겠지만, 간단하게 프로그램 재설치로도 해결되는 경우가 있습니다.

업무PC같은 경우 최근에 설치한 프로그램 제거하거나, 백신프로그램을 제거로 해결되는 경우가 많음

서버계열은 오래된 드라이버에서 문제가 발생하는 경우가 발생합니다.

 

 

Nonpaged Pool 확인하는 여러방법

 

작업관리자에서 Nonpaged Pool 용량 확인

 

 

 

RAMMap으로 Nonpaged Pool, PageTable 확인

https://learn.microsoft.com/en-us/sysinternals/downloads/rammap

RAMMap - Sysinternals

 

 

 

Process Explorer로 Nonpaged Pool 확인

https://learn.microsoft.com/en-us/sysinternals/downloads/process-explorer

Process Explorer - Sysinternals