Windows系统调用中的现场保存

今天药忘吃喽~ 2023-06-09 10:27 2阅读 0赞

**[Windows内核分析索引目录][Windows]：https://www.cnblogs.com/onetrainee/p/11675224.html**

**Windows系统调用中的现场保存**

我们之前介绍过三环进零环的步骤，通过中断或者快速调用来实现。

但是我们是否考虑过CPU从三环进入零环时，其三环的寄存器该如何保存。

这一篇文件就来介绍其系统调用中的(三环)现场保存的问题。

**一、几个重要的结构体介绍**

**1. \_Ktrap\_frame**

该结构体简单来说用于三环的寄存器保存，存储于零环，由操作系统维护，每个线程都有自己的 \_Ktrap\_frame 结构体(ethread+0x108处)。

详细信息可以查看这篇文章：[解析windows内核每日一讲 陷阱调度][windows_]

我们之前讲过进入0环时获取新的四个寄存器非常重要， SS\\CS\\EIP\\ESP

如下图，当进入零环时，操作系统会获取ESP值，该值指向\_Ktrap\_frame结构体，将旧的SS\\CS\\EIP\\ESP\\EFLAG依次压入(0x78-0x68处)，之后ESP +0x070 ErrCode处。

之后便进入获取的EIP来执行内核函数。

**2. \_ETHREAD 结构体**

该结构体保存了和线程相关的信息，位于0环(其并非三环的 TEB，线程环境块)

在\_ETHREAD结构体第一个成员是 \_KTHRAD，可以看出其大小0x200，里面保存了线程中的一些信息

**kd > dt \_ethread**  
ntdll!\_ETHREAD  
**+ 0x000 Tcb : \_KTHREAD**  
\+ 0x200 CreateTime : \_LARGE\_INTEGER  
　····

**kd > dt \_kthread**  
ntdll!\_KTHREAD  
\+ 0x000 Header : \_DISPATCHER\_HEADER  
···  
　　　 **+0x128 TrapFrame : Ptr32 \_KTRAP\_FRAME**

**3. KPCR结构体(kernel processor control region 内核线程控制区)**

有一篇文章，里面大体介绍了该结构体 --> [\[Windows内核分析\]KPCR结构体介绍 (CPU控制区 Processor Control Region)][Windows_KPCR_ _CPU_ Processor Control Region]

简单来说，KPCR结构体中保存着 关于CPU 的信息，一个核有一个自己私有的KPCR结构体，八核则每个核有自己的单独的KPCR结构体

我们需要用到最后一个成员中的中的CurrentThread来获取当前线程的\_KTHREAD结构体。

kd > dt \_kpcr  
ntdll!\_KPCR  
\+ 0x000 NtTib : \_NT\_TIB  
\+ 0x000 Used\_ExceptionList : Ptr32 \_EXCEPTION\_REGISTRATION\_RECORD  
····  
**+0x120 PrcbData : \_KPRCB**

kd > dt \_KPRCB  
ntdll!\_KPRCB  
\+ 0x000 MinorVersion : Uint2B  
\+ 0x002 MajorVersion : Uint2B  
**+ 0x004 CurrentThread : Ptr32 \_KTHREAD**  
\+ 0x008 NextThread : Ptr32 \_KTHREAD  
···

**二、分析 nt!KiSystemService 内核函数**

该函数位于ntkrnlpa.exe真正的内核中(并非ntdll.dll)，一开始希望使用IDA反汇编查看其代码，但是无法显示。

我们只能采取"曲线救国"的方法，通过int 2eh中断号查找GDT表，从表中获取中断描述符，将中断描述符拼接拆分，获取 函数的EIP 地址。

之后，我们使用 Windbg 的U指令，来查看该其该函数在内存中的反汇编代码

反汇编代码可能有点长，我们在正式分析之前需要明确几个注意事项。

0）这些反汇编代码的目的就是将 \_Ktrap\_frame 结构体中的寄存器填满，然后将\[KTHREAD+0x128\]处旧的TRAPFRAME切换为这个新的KTRAPFRAME然后调用内核函数。

1）函数开始时ESP位于\_Ktrap\_framec+0x070 ErrCode处。ErroCode这里没有，因此可以看待汇编代码中第一行使用 push 0。

2）FS寄存器在0环时是指向自己的KPCR，而在3环时保存的是该线程的TEB结构体。（[R3可以查看：利用C++实现模块隐藏][R3_C])

因此在反汇编代码 **83e8cff6 、83e8cffb** 是手动将FS寄存器存储KPCR。

原理是以30h作为段选择子查找GDT这张表，找出段描述符，然后加载到fs段寄存器中。

3） 0x83e8d007处 KPCR:\[124\] 为当前线程的ETHREAD结构体(看一中的表,KTHREAD也即ETHREAD的头部)，将其存储到寄存器esi中，之后要经常使用。

4）0x83e8d026处修改esp，将其指向 \_Ktrap\_frame 结构体第一个成员，0x83e8d036 处也将ebp修改为 \_Ktrap\_frame 结构体第一个成员。

5）因为 esi 指向ETHREAD, \[esi+128h\] 则表示当前线程的\_Ktrap\_frame，在进入内核时，其保存了一个旧的frame。

0x83e8d038将获取旧的\_Ktrap\_frame

0x83e8d03e将旧的Frame放入新的Frame的edx寄存器中

0x83e8d049将新的Frame挂靠在ETHREAD+0x128处，这样完成了新旧替换。

下图三个箭头依次对应上面三个阶段，这样通过FS寄存器就可以查找到该FRAME了，回去只需要找到这里完成替换即可。

6）Frame前部分成员和调试有关，因此0x83e8d045这里需要判断是否在调试状态，如果处于调试状态，则jmp进一个地址，将寄存器入栈再回来。

硬件调试，其实就是通过这个部分。对于反调试，这里可以做些文章...

7）还有部分涉及权限切换，0x83e8d030 比如有些API可以让3环也可以让0环权限调用，但有的不让(看保护模式调用门等知识)，此时就会进行位运算判断"先前模式"的权限级别。

8）当这些工作全部完成之后，会执行 83e8d06d e9dd000000 jmp nt!KiFastCallEntry+0x8f (83e8d14f)

对，你没看错，就是快速调用时的函数，相当于中断多走了一步，处理了上面的一些信息，而快速调用提前就可以处理好直接调用 nt!KiFastCallEntry+0x8f函数。

**三、nt!KiSystemService函数的反汇编解读**

1 nt!KiSystemService:
     2 // 压栈 按照 _Ktrap_frame 结构中寄存的值
     3 83e8cfee 6a00            push    0 // errorcode 填入零来进行对齐
     4 83e8cff0 55              push    ebp
     5 83e8cff1 53              push    ebx
     6 83e8cff2 56              push    esi
     7 83e8cff3 57              push    edi
     8 83e8cff4 0fa0            push    fs
     9 
    10 // 根据30h这个值作为段选择子，查找gdt这张表，找出段描描述符，将其加载到fs段寄存器中
    11 // 30h -> 0011 0000 -> index = 00110 | TI = 0 |00 -> TI=0查LDT表，查索引为6查出来的是 834093f7`ac003748 这个值。
    12 // 834093f7`ac003748 段描述符，根据段描述符属性拼接起来的 83f7ac00
    13 // 83f7ac00 指向的是 KPCR，FS在零环的时候，指向KPCR，不再是三环时线程TEB这个结构体
    14 83e8cff6 bb30000000      mov     ebx,30h
    15 83e8cffb 668ee3          mov     fs,bx
    16 83e8cffe bb23000000      mov     ebx,23h
    17 83e8d003 8edb            mov     ds,bx
    18 83e8d005 8ec3            mov     es,bx
    19 
    20 
    21 // 有些API 0环和三环都可以调用，通过下面操作可以查看原来调用的是0环还是3环，再进行调用API的权限验证 
    22 // 验证完该线程，如果是0环，则bl为0；如果是3环，则bl=1
    23 83e8d007 648b3524010000  mov     esi,dword ptr fs:[124h] // 将当前CPU正在跑的线程放到esi中
    24 83e8d00e 64ff3500000000  push    dword ptr fs:[0] // 把老的EXCEPTION_LIST 存入 _Ktrap_frame 结构体中(fs上边那部分)
    25 83e8d015 64c70500000000ffffffff mov dword ptr fs:[0],0FFFFFFFFh // 将现在EXCPTION_LIST放入异常链表
    26 83e8d020 ffb63a010000    push    dword ptr [esi+13Ah] // 将老的"先前模式"也保存到栈中
    27 83e8d026 83ec48          sub     esp,48h // 将当前ESP提升到 _Ktrap_frame 第一个成员
    28 83e8d029 8b5c246c        mov     ebx,dword ptr [esp+6Ch] // 取出3环压入的参数CS _KTRAP_FRAME + 0x6c,指向三环原来的CS值
    29 83e8d02d 83e301          and     ebx,1 // 将原来CS的值进行与运算， 0环最低为为0，3环最低为为1
    30 83e8d030 889e3a010000    mov     byte ptr [esi+13Ah],bl // 新的"先前模式",原来是三环模式为1；原来是零环模式为0
    31 83e8d036 8bec            mov     ebp,esp // ebp 同样指向_Ktrap_frame第一个成员
    32 83e8d038 8b9e28010000    mov     ebx,dword ptr [esi+128h] // esi通过0x83e8d007处[KPCR+124]，指向Ethread                              // Ethread+128h 指向的是 _KTRAP_FRAME这个结构体指针            
    33 83e8d03e 895d3c          mov     dword ptr [ebp+3Ch],ebx  // 将该 _KTRAP_FRAME地址暂时保存在 edx 中                             
    34 83e8d041 83652c00        and     dword ptr [ebp+2Ch],0
    35 83e8d045 f64603df        test    byte ptr [esi+3],0DFh      // 判断是否属于调试状态 一个位 +0x003 DebugActive : UChar
    36 83e8d049 89ae28010000    mov     dword ptr [esi+128h],ebp // 因为新的 trap_frame地址已经发生变化，所以要将新的trapFrame放到线程放到这个位置
    37 
    38 83e8d04f fc              cld
    39 83e8d050 0f859afeffff    jne     nt!Dr_kss_a (83e8cef0)  // 在0x83e8d045处根据判断结果，如果是调试状态，则进行跳转。
    40                              // 若为调试，则跳过去将调试相关的寄存器也存入_KTRAP_FRAME这个结构体
    41                              // 否则不是调试器，则将中是-1。(硬件断点使用这个，反调试很管用)
    42 83e8d056 8b5d60          mov     ebx,dword ptr [ebp+60h] // 3环的EBP
    43 83e8d059 8b7d68          mov     edi,dword ptr [ebp+68h] // 3环的EIP
    44 83e8d05c 89550c          mov     dword ptr [ebp+0Ch],edx // edx存放着三环参数的指针
    45                              // {mov edx,esp;sysenter}                    
    46 83e8d05f c74508000ddbba  mov     dword ptr [ebp+8],0BADB0D00h // 操作系统需要用的标志
    47 83e8d066 895d00          mov     dword ptr [ebp],ebx     // 3环的ebp存储到DbgEbp的位置
    48 83e8d069 897d04          mov     dword ptr [ebp+4],edi   // 3环的eip存放到 DbgEip
    49 83e8d06c fb              sti     // 关闭中断
    50 83e8d06d e9dd000000      jmp     nt!KiFastCallEntry+0x8f (83e8d14f) // 取出系统调用号，3环传进来的。
    51                  // 注意，这个就是快速调用首先进入的函数，相当于中断多走了这一步，系统调用直接调用。

**四、nt!KiFastCallEntry的反汇编代码**

**该反汇编代码阅读量同样很大，找时间一定给读出来，如果感兴趣可以自行百度相关解读。**

1 nt!KiFastCallEntry:
      2 83e8d0c0 b923000000      mov     ecx,23h
      3 83e8d0c5 6a30            push    30h
      4 83e8d0c7 0fa1            pop     fs
      5 83e8d0c9 8ed9            mov     ds,cx
      6 83e8d0cb 8ec1            mov     es,cx
      7 83e8d0cd 648b0d40000000  mov     ecx,dword ptr fs:[40h]
      8 83e8d0d4 8b6104          mov     esp,dword ptr [ecx+4]
      9 83e8d0d7 6a23            push    23h
     10 83e8d0d9 52              push    edx
     11 83e8d0da 9c              pushfd
     12 83e8d0db 6a02            push    2
     13 83e8d0dd 83c208          add     edx,8
     14 83e8d0e0 9d              popfd
     15 83e8d0e1 804c240102      or      byte ptr [esp+1],2
     16 83e8d0e6 6a1b            push    1Bh
     17 83e8d0e8 ff350403dfff    push    dword ptr ds:[0FFDF0304h]
     18 83e8d0ee 6a00            push    0
     19 83e8d0f0 55              push    ebp
     20 83e8d0f1 53              push    ebx
     21 83e8d0f2 56              push    esi
     22 83e8d0f3 57              push    edi
     23 83e8d0f4 648b1d1c000000  mov     ebx,dword ptr fs:[1Ch]
     24 83e8d0fb 6a3b            push    3Bh
     25 83e8d0fd 8bb324010000    mov     esi,dword ptr [ebx+124h]
     26 83e8d103 ff33            push    dword ptr [ebx]
     27 83e8d105 c703ffffffff    mov     dword ptr [ebx],0FFFFFFFFh
     28 83e8d10b 8b6e28          mov     ebp,dword ptr [esi+28h]
     29 83e8d10e 6a01            push    1
     30 83e8d110 83ec48          sub     esp,48h
     31 83e8d113 81ed9c020000    sub     ebp,29Ch
     32 83e8d119 c6863a01000001  mov     byte ptr [esi+13Ah],1
     33 83e8d120 3bec            cmp     ebp,esp
     34 83e8d122 7597            jne     nt!KiFastCallEntry2+0x49 (83e8d0bb)
     35 83e8d124 83652c00        and     dword ptr [ebp+2Ch],0
     36 83e8d128 f64603df        test    byte ptr [esi+3],0DFh
     37 83e8d12c 89ae28010000    mov     dword ptr [esi+128h],ebp
     38 83e8d132 0f8538feffff    jne     nt!Dr_FastCallDrSave (83e8cf70)
     39 83e8d138 8b5d60          mov     ebx,dword ptr [ebp+60h]
     40 83e8d13b 8b7d68          mov     edi,dword ptr [ebp+68h]
     41 83e8d13e 89550c          mov     dword ptr [ebp+0Ch],edx
     42 83e8d141 c74508000ddbba  mov     dword ptr [ebp+8],0BADB0D00h
     43 83e8d148 895d00          mov     dword ptr [ebp],ebx
     44 83e8d14b 897d04          mov     dword ptr [ebp+4],edi
     45 83e8d14e fb              sti
     46 83e8d14f 8bf8            mov     edi,eax
     47 83e8d151 c1ef08          shr     edi,8
     48 83e8d154 83e710          and     edi,10h
     49 83e8d157 8bcf            mov     ecx,edi
     50 83e8d159 03bebc000000    add     edi,dword ptr [esi+0BCh]
     51 83e8d15f 8bd8            mov     ebx,eax
     52 83e8d161 25ff0f0000      and     eax,0FFFh
     53 83e8d166 3b4708          cmp     eax,dword ptr [edi+8]
     54 83e8d169 0f8333fdffff    jae     nt!KiBBTUnexpectedRange (83e8cea2)
     55 83e8d16f 83f910          cmp     ecx,10h
     56 83e8d172 751a            jne     nt!KiFastCallEntry+0xce (83e8d18e)
     57 83e8d174 8b8e88000000    mov     ecx,dword ptr [esi+88h]
     58 83e8d17a 33f6            xor     esi,esi
     59 83e8d17c 0bb1700f0000    or      esi,dword ptr [ecx+0F70h]
     60 83e8d182 740a            je      nt!KiFastCallEntry+0xce (83e8d18e)
     61 83e8d184 52              push    edx
     62 83e8d185 50              push    eax
     63 83e8d186 ff154c99fb83    call    dword ptr [nt!KeGdiFlushUserBatch (83fb994c)]
     64 83e8d18c 58              pop     eax
     65 83e8d18d 5a              pop     edx
     66 83e8d18e 64ff05b0060000  inc     dword ptr fs:[6B0h]
     67 83e8d195 8bf2            mov     esi,edx
     68 83e8d197 33c9            xor     ecx,ecx
     69 83e8d199 8b570c          mov     edx,dword ptr [edi+0Ch]
     70 83e8d19c 8b3f            mov     edi,dword ptr [edi]
     71 83e8d19e 8a0c10          mov     cl,byte ptr [eax+edx]
     72 83e8d1a1 8b1487          mov     edx,dword ptr [edi+eax*4]
     73 83e8d1a4 2be1            sub     esp,ecx
     74 83e8d1a6 c1e902          shr     ecx,2
     75 83e8d1a9 8bfc            mov     edi,esp
     76 83e8d1ab 3b351c97fb83    cmp     esi,dword ptr [nt!MmUserProbeAddress (83fb971c)]
     77 83e8d1b1 0f832e020000    jae     nt!KiSystemCallExit2+0xa5 (83e8d3e5)
     78 83e8d1b7 f3a5            rep movs dword ptr es:[edi],dword ptr [esi]
     79 83e8d1b9 f6456c01        test    byte ptr [ebp+6Ch],1
     80 83e8d1bd 7416            je      nt!KiFastCallEntry+0x115 (83e8d1d5)
     81 83e8d1bf 648b0d24010000  mov     ecx,dword ptr fs:[124h]
     82 83e8d1c6 8b3c24          mov     edi,dword ptr [esp]
     83 83e8d1c9 89993c010000    mov     dword ptr [ecx+13Ch],ebx
     84 83e8d1cf 89b92c010000    mov     dword ptr [ecx+12Ch],edi
     85 83e8d1d5 8bda            mov     ebx,edx
     86 83e8d1d7 f6050869f88340  test    byte ptr [nt!PerfGlobalGroupMask+0x8 (83f86908)],40h
     87 83e8d1de 0f954512        setne   byte ptr [ebp+12h]
     88 83e8d1e2 0f858c030000    jne     nt!KiServiceExit2+0x17b (83e8d574)
     89 83e8d1e8 ffd3            call    ebx
     90 83e8d1ea f6456c01        test    byte ptr [ebp+6Ch],1
     91 83e8d1ee 7434            je      nt!KiFastCallEntry+0x164 (83e8d224)
     92 83e8d1f0 8bf0            mov     esi,eax
     93 83e8d1f2 ff156801e583    call    dword ptr [nt!_imp__KeGetCurrentIrql (83e50168)]
     94 83e8d1f8 0ac0            or      al,al
     95 83e8d1fa 0f853b030000    jne     nt!KiServiceExit2+0x142 (83e8d53b)
     96 83e8d200 8bc6            mov     eax,esi
     97 83e8d202 648b0d24010000  mov     ecx,dword ptr fs:[124h]
     98 83e8d209 f68134010000ff  test    byte ptr [ecx+134h],0FFh
     99 83e8d210 0f8543030000    jne     nt!KiServiceExit2+0x160 (83e8d559)
    100 83e8d216 8b9184000000    mov     edx,dword ptr [ecx+84h]
    101 83e8d21c 0bd2            or      edx,edx
    102 83e8d21e 0f8535030000    jne     nt!KiServiceExit2+0x160 (83e8d559)
    103 83e8d224 8be5            mov     esp,ebp
    104 83e8d226 807d1200        cmp     byte ptr [ebp+12h],0
    105 83e8d22a 0f8550030000    jne     nt!KiServiceExit2+0x187 (83e8d580)
    106 83e8d230 648b0d24010000  mov     ecx,dword ptr fs:[124h]
    107 83e8d237 8b553c          mov     edx,dword ptr [ebp+3Ch]
    108 83e8d23a 899128010000    mov     dword ptr [ecx+128h],edx

[Windows]: https://www.cnblogs.com/onetrainee/p/11675224.html
[windows_]: http://blog.sina.com.cn/s/blog_5d29455e0101l562.html
[Windows_KPCR_ _CPU_ Processor Control Region]: https://www.cnblogs.com/onetrainee/p/11675225.html
[R3_C]: https://www.cnblogs.com/onetrainee/p/11674211.html