14-TSS切换实验

概述

前面讲述了TSS有两个功能，提权的时候切换栈，需要用到TSS，另外执行 call/jmp 访问TSS段的时候，可以切换一堆寄存器。本节主要进行一个实验，来模拟第二个功能。

实验思路

• 编写测试入口函数
• 构造TSS
• 设计TSS段描述符并安装

编写测试入口函数

CPU利用 TSS 切换一堆寄存器后，转而就去执行 eip 所指向的指令，为了能够让CPU执行自己的代码，我们需要编写一个测试函数，把这个函数的地址填写到 TSS 的 eip 域中去。

• 测试函数代码

DWORD g_esp;
DWORD g_cs;
__declspec(naked) func() {//0040FAD0
    __asm {
        mov g_esp, esp
        mov eax, 0
        mov ax, cs
        mov g_cs, eax

        iret // 这个地方需要注意，如果使用 call ，这里就填写 iret。
    }
}

该函数主要把 esp 和 cs 的值保存到了两个全局变量中。

构造TSS

说的简单点，就是给上节讲述的 TSS 结构体填充值。下面是本实验中填充的值，st 和 tss 都是全局变量。

char st[10] = {0}; // st 的地址是 0042b034
TSS tss = {// tss的地址是 0x00427b40
    0x00000000,//link
    (DWORD)st,//esp0
    0x00000010,//ss0
    0x00000000,//esp1
    0x00000000,//ss1
    0x00000000,//esp2
    0x00000000,//ss2
    0x00000000,//cr3
    0x0040fad0,//eip
    0x00000000,//eflags
    0x00000000,//eax
    0x00000000,//ecx
    0x00000000,//edx
    0x00000000,//ebx
    (DWORD)st,//esp
    0x00000000,//ebp
    0x00000000,//esi
    0x00000000,//edi
    0x00000023,//es  
    0x00000008,//cs  
    0x00000010,//ss
    0x00000023,//ds
    0x00000030,//fs
    0x00000000,//gs
    0x00000000,//ldt
    0x20ac0000
};

设计 TSS 段描述符并安装

在本实验中，tss 的地址是 0x00427b40，你可以通过在 VC6.0 中下断点来观察这个值，你的环境看到的地址与我的很可能是不同的，所以你需要根据你的情况调整描述符。
根据TSS段描述符规则，TSS段描述符设计如下：

0000e942`7b400068

在 WinDbg 中使用 eq 把它安装在 8003f048 这个位置。

eq 8003f048 0000e942`7b400068

图1 安装后的TSS段描述符

测试代码

现在，可以通过 call 指令执行一堆寄存器切换了。

• 测试代码

int main(int argc, char* argv[])
{
    printf("please input cr3:\n");
    scanf("%x", &(tss.cr3)); // 在 WinDbg 中使用 !process 0 0来 查看

    char buffer[6] = {0, 0, 0, 0, 0x48, 0};
    __asm {
        call fword ptr [buffer]
    }

    // 不出意外，这里打印的值分别是 00000008, 0042b034
    printf("g_cs = %08x\ng_esp = %08x\n", g_cs, g_esp);
    return 0;
}

• 执行结果
  
  
  图2 执行结果
  
  运行的时候需要注意，CR3 需要在 WinDbg 中查看。在 WinDbg 中使用命令 !process 0 0来查看程序SwitchTSS.exe 的 DirBase，然后在控制台里输入后回车继续执行。

完整代码

// 文件：tss.h
#pragma once

typedef struct TSS {
    DWORD link; // 保存前一个 TSS 段选择子，使用 call 指令切换寄存器的时候由CPU填写。
    // 这 6 个值是固定不变的，用于提权，CPU 切换栈的时候用
    DWORD esp0; // 保存 0 环栈指针
    DWORD ss0;  // 保存 0 环栈段选择子
    DWORD esp1; // 保存 1 环栈指针
    DWORD ss1;  // 保存 1 环栈段选择子
    DWORD esp2; // 保存 2 环栈指针
    DWORD ss2;  // 保存 2 环栈段选择子
    // 下面这些都是用来做切换寄存器值用的，切换寄存器的时候由CPU自动填写。
    DWORD cr3; 
    DWORD eip;  
    DWORD eflags;
    DWORD eax;
    DWORD ecx;
    DWORD edx;
    DWORD ebx;
    DWORD esp;
    DWORD ebp;
    DWORD esi;
    DWORD edi;
    DWORD es;
    DWORD cs;
    DWORD ss;
    DWORD ds;
    DWORD fs;
    DWORD gs;
    DWORD ldt;
    // 这个暂时忽略
    DWORD io_map;
} TSS;

// 文件：SwitchTSS.cpp
#include <windows.h>
#include <stdio.h>
#include "tss.h"

char st[10] = {0}; // 0042b034

DWORD g_esp;
DWORD g_cs;

TSS tss = {// 0x00427b40
        0x00000000,//link
        (DWORD)st,//esp0
        0x00000010,//ss0
        0x00000000,//esp1
        0x00000000,//ss1
        0x00000000,//esp2
        0x00000000,//ss2
        0x00000000,//cr3
        0x0040fad0,//eip
        0x00000000,//eflags
        0x00000000,//eax
        0x00000000,//ecx
        0x00000000,//edx
        0x00000000,//ebx
        (DWORD)st,//esp
        0x00000000,//ebp
        0x00000000,//esi
        0x00000000,//edi
        0x00000023,//es  
        0x00000008,//cs  
        0x00000010,//ss
        0x00000023,//ds
        0x00000030,//fs
        0x00000000,//gs
        0x00000000,//ldt
        0x20ac0000
};

__declspec(naked) func() {//0040FAD0
    __asm {
        mov g_esp, esp
        mov eax, 0
        mov ax, cs
        mov g_cs, eax

        iret
    }
}
int main(int argc, char* argv[])
{
    printf("please input cr3:\n");
    scanf("%x", &(tss.cr3));

    char buffer[6] = {0, 0, 0, 0, 0x48, 0};
    __asm {
        call fword ptr [buffer]
    }

    // 不出意外，这里打印的值分别是 00000008, 0042b034
    printf("g_cs = %08x\ng_esp = %08x\n", g_cs, g_esp);
    return 0;
}

总结

本节主要演示了 call 执行执行任务切换（记住，是切换一堆寄存器）。本实验并没有使用 jmp，如果使用 jmp 的话，唯一的区别就是在测试函数那里返回不要使用 iret 指令，否则一定会蓝屏的。

读者可自己尝试着把 call 改成 jmp 来完成这个实验。另外，在分别使用 call 和 jmp 的时候，有两个地方需要观察一下：1. EFLAGS寄存器 2. TSS 的 link 域。