保护模式10-任务段

红太狼 2022-04-22 12:38 299阅读 0赞

在调用门，中断门，陷阱门中，一旦发生权限切换（3环进0环），那么堆栈一定会发生变化  
![在这里插入图片描述][20181105094504809.png]栈顶ESP变成0xB0F13DA8，堆栈也随之变成了0环的堆栈  
由于CS的CPL发生变化，导致了SS也必须切换

**堆栈段寄存器SS（Stack Segment）**  
指出当前堆栈的底部地址，即存放堆栈段的段基址

当发生权限切换的时候，会有新的ESP和SS（CS是由中断门或者调用门指定），那么ESP和SS从何而来呢？  
TSS(Task-State Segment)任务状态段

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzM1NDI1MjQz_size_16_color_FFFFFF_t_70][]TSS是一块内存，大小104字节，并不是寄存器，不在CPU中  
TSS里存储了段寄存器，通用寄存器，标志寄存器，EIP，CR3寄存器，4个堆栈  
TSS的设计初衷是任务切换(线程切换)，当线程切换的时候，同时替换寄存器的值,**虽然操作系统并没有使用来切换线程**(Windows，Linux)，但是TSS却已经提供给了我们，用来做了其他事情

**CPU如何找到TSS呢**  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzM1NDI1MjQz_size_16_color_FFFFFF_t_70 1]TR寄存器（Task Register）  
通过TR寄存器的段选择子，查询GDT表，找到TSS段描述符

--------------------

TSS段描述符

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzM1NDI1MjQz_size_16_color_FFFFFF_t_70 2]

1.  当TYPE位为9(1001)的时候,说明这个段描述符是一个TSS段描述符，**这个段描述符没有加载到TR寄存器中**
2.  当TYPE位为B(1011)的时候,说明也是TSS段描述符，**这个段描述符已经加载到了TR寄存器中**

--------------------

TR寄存器的读写

1.  将TSS段描述符加载到TR寄存器  
    **指令：LTR**  
    用LTR指令去装载TR寄存器，仅仅是改变了TR寄存器里面的内容(96位)  
    并没有真正改变TSS  
    LTR指令只能在系统层使用  
    加载后TSS段描述符会TYPE位发生改变 1001->1011，9变成B，说明这个段描述符被加载到了TR寄存器
2.  读TR寄存器  
    **指令：STR**  
    如果用STR去读TR寄存器，只能读到TR寄存器的16位，也就是段选择子，和读普通段寄存器一样，96位只能读出其中16位

修改TR寄存器

1.  在Ring0 我们可以通过LTR指令去修改TR寄存器
2.  在Ring3 我们可以通过CALL FAR 或者 JMP FAR指令来修改

用JMP去访问一个代码段的时候，改变的是CS和EIP ：  
JMP 0x48:0x123456 如果0x48是代码段  
执行后：CS-- > 0x48 EIP-- > 0x123456

用JMP去访问一个任务段的时候：  
如果0x48是TSS段描述符，先修改TR寄存器，在用TR.Base指向的TSS中的值修改当前的寄存器

--------------------

CPU通过TR寄存器来找到TSS，如果我们使用自己的TSS来替换原来的寄存器，就必须要修改TR寄存器，TR寄存器里面的值又是来自TSS段描述符  
**CPU->GDTR->GDT表->TSS段描述符->TR->TSS**

构建一个TSS段描述符

//一个完整的TSS结构
    typedef struct TSS {
        DWORD link; // 保存前一个 TSS 段选择子，使用 call 指令切换寄存器的时候由CPU填写。
        // 这 6 个值是固定不变的，用于提权，CPU 切换栈的时候用
        DWORD esp0; // 保存 0 环栈指针
        DWORD ss0;  // 保存 0 环栈段选择子
        DWORD esp1; // 保存 1 环栈指针
        DWORD ss1;  // 保存 1 环栈段选择子
        DWORD esp2; // 保存 2 环栈指针
        DWORD ss2;  // 保存 2 环栈段选择子
        // 下面这些都是用来做切换寄存器值用的，切换寄存器的时候由CPU自动填写。
        DWORD cr3; 
        DWORD eip;  
        DWORD eflags;
        DWORD eax;
        DWORD ecx;
        DWORD edx;
        DWORD ebx;
        DWORD esp;
        DWORD ebp;
        DWORD esi;
        DWORD edi;
        DWORD es;
        DWORD cs;
        DWORD ss;
        DWORD ds;
        DWORD fs;
        DWORD gs;
        DWORD ldt;
        // 这个暂时忽略
        DWORD io_map;
    } TSS;

TSS tss = {// 
            0x00000000,//link
            0x00000000,//esp0
            0x00000010,//ss0
            0x00000000,//esp1
            0x00000000,//ss1
            0x00000000,//esp2
            0x00000000,//ss2
            (DWORD)iCr3,//cr3
            0x004113C0,//eip-GetH2GValue();
            0x00000000,//eflags
            0x00000000,//eax
            0x00000000,//ecx
            0x00000000,//edx
            0x00000000,//ebx
            (DWORD)st,//esp
            0x00000000,//ebp
            0x00000000,//esi
            0x00000000,//edi
            0x00000023,//es  
            0x00000008,//cs  
            0x00000010,//ss
            0x00000023,//ds
            0x00000030,//fs
            0x00000000,//gs
            0x00000000,//ldt
            0x20ac0000
    };

构建TSS的时候，ESP可以不指定。但是CR3和EIP必须指定。EIP说明了替换TSS以后我们代码执行的地方

构建TSS结构体，创建结构体，给CR3，EIP，ESP赋值

写一个int3函数（tss里面的eip将会指向这里，TSS切换以后读取eip执行这里的代码）

当代码运行的时候，构建的tss被写入tr寄存器

void __declspec(naked)GetH2GValue()
    {
    	_asm
    	{
    		int 3
    		iretd
    	}
    }
    //使用jmp就不能用iretd

--------------------

中断到WinDbg

nt!RtlpBreakWithStatusInstruction:
    804e3a42 cc              int     3

G位为1，粒度为KB而不是G，TSS以KB为单位

BASE+G+AVL+LIMT    +    P+DPL+TYPE    +    BASE     +BASE   +Segment Limit
    00    00              E(1110)+9(1001)       41       142A    68
    0000e941`142a0068

0: kd> eq 8003f048 0000e941`142a0068

![在这里插入图片描述][2018110512255734.png]

[20181105094504809.png]: /images/20220422/3bb9b18551924cbdb51bb5fdf3c93449.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzM1NDI1MjQz_size_16_color_FFFFFF_t_70]: /images/20220422/e9bd0de6bf48484bbad8736a7e9e2337.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzM1NDI1MjQz_size_16_color_FFFFFF_t_70 1]: /images/20220422/b2661841ecdb4c4a8b4ff975ccacabff.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzM1NDI1MjQz_size_16_color_FFFFFF_t_70 2]: /images/20220422/0d44d03af4cf4f39aa26b2a473b6863e.png
[2018110512255734.png]: /images/20220422/d42e1ee0d3ee41fd97aa6b1a4df94a86.png