ring0下的 fs:[124]

最新推荐文章于 2023-06-23 22:22:26 发布
最新推荐文章于 2023-06-23 22:22:26 发布
阅读量2.9k 收藏 5
点赞数 1
   反汇编内核函数的时候经常会看到mov eax, fs:[124].一直没弄清楚fs寄存器在ring0存放的是什么。今天查了下资料。

    fs寄存器在Ring0中指向一个称为KPCR的数据结构，即FS段的起点与KPCR结构对齐。而在Ring0中fs寄存器一般为0x30。

    这样看KPCR的数据结构：

nt!_KPCR
   +0x000 NtTib            : _NT_TIB
   +0x01c SelfPcr          : Ptr32 _KPCR
   +0x020 Prcb             : Ptr32 _KPRCB
   +0x024 Irql             : UChar
   +0x028 IRR              : Uint4B
   +0x02c IrrActive        : Uint4B
   +0x030 IDR              : Uint4B
   +0x034 KdVersionBlock   : Ptr32 Void
   +0x038 IDT              : Ptr32 _KIDTENTRY
   +0x03c GDT              : Ptr32 _KGDTENTRY
   +0x040 TSS              : Ptr32 _KTSS
   +0x044 MajorVersion     : Uint2B
   +0x046 MinorVersion     : Uint2B
   +0x048 SetMember        : Uint4B
   +0x04c StallScaleFactor : Uint4B
   +0x050 DebugActive      : UChar
   +0x051 Number           : UChar
   +0x052 Spare0           : UChar
   +0x053 SecondLevelCacheAssociativity : UChar
   +0x054 VdmAlert         : Uint4B
   +0x058 KernelReserved   : [14] Uint4B
   +0x090 SecondLevelCacheSize : Uint4B
   +0x094 HalReserved      : [16] Uint4B
   +0x0d4 InterruptMode    : Uint4B
   +0x0d8 Spare1           : UChar
   +0x0dc KernelReserved2  : [17] Uint4B
   +0x120 PrcbData         : _KPRCB

    这样fs:[124]就指向KPRCB数据结构的第四个字节。由于KPRCB比较大，再此就不列出来了。查看其数据结构可以看到第四个字节指向CurrentThead(KTHREAD类型)。这样fs:[124]其实是指向当前线程的_KTHREAD。


===============================================================================================

应用实例：

以前看某些文章的时候，知道可以利用“活动进程链”隐藏或者检测进程。对于如何定位活动进程链一直没搞清楚，在看Rootkit那本书上说，通过PsGetCurrentProcess函数可以获得EPROCESS，但是书中解释的很模糊，一直没看明白。
今天利用WinDbg查看了各个结构，终于把疑问搞清楚了。
PsGetCurrentProcess函数反汇编后是这样：

lkd> u nt!PsGetCurrentProcess
nt!PsGetCurrentProcess:
8052b52c 64a124010000         mov          eax,dword ptr fs:[00000124h]
8052b532 8b4044                   mov          eax,dword ptr [eax+44h]
8052b535 c3                          ret

在用户模式下，FS指向TEB结构，而在内核模式下FS却指向KPCR（Kernel's Processor Control Region）结构。那么可以看到FS:[0x120]处就是KPRCB（Kernel's Processor Cotrol Block）结构（看下图红色高亮处）

lkd> dt nt!_kpcr
nt!_KPCR
        +0x000 NtTib                 : _NT_TIB
        +0x01c SelfPcr               : Ptr32 _KPCR
        +0x020 Prcb                  : Ptr32 _KPRCB
        +0x024 Irql                  : UChar
        +0x028 IRR                   : Uint4B
        +0x02c IrrActive             : Uint4B
        +0x030 IDR                   : Uint4B
        +0x034 KdVersionBlock        : Ptr32 Void
        +0x038 IDT                   : Ptr32 _KIDTENTRY
        +0x03c GDT                   : Ptr32 _KGDTENTRY
        +0x040 TSS                   : Ptr32 _KTSS
        +0x044 MajorVersion          : Uint2B
        +0x046 MinorVersion          : Uint2B
        +0x048 SetMember             : Uint4B
        +0x04c StallScaleFactor : Uint4B
        +0x050 DebugActive           : UChar
        +0x051 Number                : UChar
        +0x052 Spare0                : UChar
        +0x053 SecondLevelCacheAssociativity : UChar
        +0x054 VdmAlert              : Uint4B
        +0x058 KernelReserved        : [14] Uint4B
        +0x090 SecondLevelCacheSize : Uint4B
        +0x094 HalReserved           : [16] Uint4B
        +0x0d4 InterruptMode         : Uint4B
        +0x0d8 Spare1                : UChar
        +0x0dc KernelReserved2       : [17] Uint4B
   +0x120 PrcbData              : _KPRCB

展开KPRCB结构继续观察可以看到FS:[0x124]指向了KTHREAD结构

lkd> dt nt!_kprcb
nt!_KPRCB
        +0x000 MinorVersion          : Uint2B
        +0x002 MajorVersion          : Uint2B
   +0x004 CurrentThread         : Ptr32 _KTHREAD
        +0x008 NextThread            : Ptr32 _KTHREAD
        +0x00c IdleThread            : Ptr32 _KTHREAD
......本结构更多成员省略

继续查看KTHREAD结构可以看到KTHREAD+0x44处成员就是KPROCESS指针

lkd> dt nt!_kthread -v -r1
Matched nt!_KTHREAD
nt!_KTHREAD
struct _KTHREAD, 73 elements, 0x1c0 bytes
        +0x000 Header                : struct _DISPATCHER_HEADER, 6 elements, 0x10 bytes
           +0x000 Type                  : UChar
           +0x001 Absolute              : UChar
           +0x002 Size                  : UChar
           +0x003 Inserted              : UChar
           +0x004 SignalState           : Int4B
           +0x008 WaitListHead          : struct _LIST_ENTRY, 2 elements, 0x8 bytes
              +0x000 Flink                 : Ptr32 to struct _LIST_ENTRY, 2 elements, 0x8 bytes
              +0x004 Blink                 : Ptr32 to struct _LIST_ENTRY, 2 elements, 0x8 bytes
        +0x010 MutantListHead        : struct _LIST_ENTRY, 2 elements, 0x8 bytes
           +0x000 Flink                 : Ptr32 to struct _LIST_ENTRY, 2 elements, 0x8 bytes
              +0x000 Flink                 : Ptr32 to struct _LIST_ENTRY, 2 elements, 0x8 bytes
              +0x004 Blink                 : Ptr32 to struct _LIST_ENTRY, 2 elements, 0x8 bytes
           +0x004 Blink                 : Ptr32 to struct _LIST_ENTRY, 2 elements, 0x8 bytes
              +0x000 Flink                 : Ptr32 to struct _LIST_ENTRY, 2 elements, 0x8 bytes
              +0x004 Blink                 : Ptr32 to struct _LIST_ENTRY, 2 elements, 0x8 bytes
        +0x018 InitialStack          : Ptr32 to Void
        +0x01c StackLimit            : Ptr32 to Void
        +0x020 Teb                   : Ptr32 to Void
        +0x024 TlsArray              : Ptr32 to Void
        +0x028 KernelStack           : Ptr32 to Void
        +0x02c DebugActive           : UChar
        +0x02d State                 : UChar
        +0x02e Alerted               : [2] UChar
        +0x030 Iopl                  : UChar
        +0x031 NpxState              : UChar
        +0x032 Saturation            : Char
        +0x033 Priority              : Char
  +0x034 ApcState              : struct _KAPC_STATE, 5 elements, 0x18 bytes
           +0x000 ApcListHead           : [2] struct _LIST_ENTRY, 2 elements, 0x8 bytes
              +0x000 Flink                 : Ptr32 to struct _LIST_ENTRY, 2 elements, 0x8 bytes
              +0x004 Blink                 : Ptr32 to struct _LIST_ENTRY, 2 elements, 0x8 bytes
      +0x010 Process               : Ptr32 to struct _KPROCESS, 29 elements, 0x6c bytes

至此，我们已经搞清了PsGetCurrentProcess的流程
通过查DDK DOC发现MS对PsGetCurrentProcess函数是这样描述的：

PsGetCurrentProcess returns a pointer to the process of the current thread.
PEPROCESS
       PsGetCurrentProcess(
         );

该函数的返回值是EPROCESS指针。但是我们分析的结果是函数的返回值是KPROCESS的指针。
这样的话难道PsGetCurrentProcess 函数返回值既是EPROCESS的指针又是KPROCESS的指针？
带着疑问我们继续往下看：

lkd> dt nt!_eprocess
nt!_EPROCESS
   +0x000 Pcb                   : _KPROCESS
        +0x06c ProcessLock           : _EX_PUSH_LOCK
        +0x070 CreateTime            : _LARGE_INTEGER
        +0x078 ExitTime              : _LARGE_INTEGER
        +0x080 RundownProtect        : _EX_RUNDOWN_REF
   +0x084 UniqueProcessId       : Ptr32 Void
        +0x088 ActiveProcessLinks : _LIST_ENTRY

可以看到EPROCESS的第一个成员就是KPROCESS，这样我们就明白了为什么PsGetCurrentProcess 函数返回值既是EPROCESS的地址又是KPROCESS的地址了。在EPROCESS偏移0x84是进程的PID，偏移0x88（我的系统是XP SP2）就是我们要找的活动进程链了。





whatday
关注
fs:[124]
strongxu的专栏
01-20 3680
    反汇编内核函数的时候经常会看到mov eax, fs:[124].一直没弄清楚fs寄存器在ring0存放的是什么。今天查了下资料。     fs寄存器在Ring0中指向一个称为KPCR的数据结构，即FS段的起点与KPCR结构对齐。而在Ring0中fs寄存器一般为0x30。     这样看KPCR的数据结构： nt!_KPCR +0x000 NtTib :
fs 的一些参考
12-07 466
经常在r3 下调试经常会看到 mov eax,fs:[18h] ；获取TEP 其实就只指向自己fs:[0] mov eax,[eax+30h] ；获取PEB 这样的语句。 fs段在用户模式（R3）和系统模式（R0）分别指向两个最重要的系统结 构： Ring3: fs --> TEB (Thread Environment Block)结 构表 --> 7FFDE000即“线程环境块”。 Ring0: fs --> KPCR (Kernel
fs:[124]对应CurrentThread
weixin_33920401的博客
02-22 98
反汇编内核函数的时候经常会看到mov eax, fs:[124].一直没弄清楚fs寄存器在ring0存放的是什么。今天查了下资料。 fs寄存器在Ring0中指向一个称为KPCR的数据结构，即FS段的起点与KPCR结构对齐。 具体如下： kd> dt _KPCR nt!_KPCR +0x000 NtTib...
windows第三大结构体--KPCR
最新发布
qq_30528603的博客
06-23 713
前面我们介绍了windows的两大结构体，一个是进程结构体，一个是线程结构体。KPCR是什么呢，是用于描述CPU的结构体。每一个CPU都有一个这样的结构体来描述CPU干了什么事。这三个成员和线程切换有关，第一个描述了当前在跑的线程，第二个描述了一会要切换的线程是谁，第三个是当没有线程需要执行的时候，执行的空闲线程是谁。在KPCR最后一个成员叫PrcbData,他是一个扩展结构体，也是放了很多有用的信息。1.在当线程切换的时候，也就是线程从3环进入0环时，FS：[0]->TEB切换成KPCR。
KPCR
Cherryuuuu
02-27 813
KPCR KPRCB
让程序进入ring0级执行
fdgugfv的博客
11-10 2730
让程序进入ring0级执行
跟踪 Ring3 - Ring0 的执行流程
11:00 啦
08-22 3419
理论知识SYSENTER 指令是在 Inter Pentium(R) Ⅱ 处理器上作为“快速系统调用”功能的一部分被首次引用的。 SYSENTER 指令进行过专门的优化，能够以最佳性能由 Ring3 层切换到 Ring0 层。 微软首次引用 SYSENTER 指令是在 Windows 2000 的系统上，再次之前微软的系统是通过自陷指令 int 0x2E 进入 Ring0 层的系统空间的。 在
ringbuffer java例子_使用Ring Buffer构建高性能的文件写入程序
weixin_39725403的博客
02-13 544
最近常收到SOD框架的朋友报告的SOD的SQL日志功能报错：文件句柄丢失。经过分析得知，这些朋友使用SOD框架开发了访问量比较大的系统，由于忘记关闭SQL日志功能所以出现了很高频率的日志写入操作，从而偶然引起错误。后来我建议只记录出错的或者执行时间较长的SQL信息，暂时解决了此问题。但是作为一个热心造轮子的人，一定要看看能不能造一个更好的轮子出来。前面说的错误原因已经很直白了，就是频繁的日志写入导...
NSFS-Source-Code:NSFS的源代码，它是NationStates上使用最广泛的侦查器之一-one source code
03-24
NSFS-Source-Code:NSFS的源代码，它是NationStates上使用最广泛的侦查器之一
Windows内核基础之KPCR
tutucoo
12-07 1142
1.概述 KPCR是CPU的一个结构体，它就像EPROCESS对于进程，ETHREAD对于线程，KPCR对于CPU是非常重要的，它的全称是Processor Control Region。 fs:[0]在3环时指向TEB，在0环时指向KPCR，每一个CPU核心都对应着一个KPCR，KPCR存储了CPU需要使用的一些重要信息，比如GDT\IDT以及线程相关的信息 2.KPCR结构体 nt!_KPCR...
linux内核启动过程分析
风雨无阻
08-17 3521
linux内核启动分析，分为第一阶段汇编和第二阶段。
Arch-base-vs-iso
feiyu5323的专栏
05-18 706
Arch-base-vs-iso Arch-base-vs-iso 通常绝大多数的Linux分发版的iso镜像本身(*.iso文件都有约2Gb上下)都可以直接启动电脑并运行完整的Linux桌面系统。 极少数的Linux发行版仅提供命令行界面，没有桌面环境。比如arch Linux的iso文件只有600Mb，但是即便如此，他也拥有完整的硬件适应识别能力，及连接各...
进程线程001 进程线程结构体和KPCR
鬼手的博客
12-26 1362
文章目录前言EPROCESSKPROCESS主要成员EPROCESS其他成员ETHREADKTHREAD主要成员介绍ETHREAD其他成员介绍KPCRKPCR介绍_NT_TIB主要成员介绍KPCR的其他成员介绍KPRCB成员介绍KPRCB成员介绍 前言 进程线程的知识点很多，如果我们想了解问题的本质，就要从一些关键的结构体学起，先来介绍一个与进程密切相关的结构体 EPROCESS 每个进程在零环都...
Process Environment Block（PEB）
寻梦&之璐
01-25 5433
简介 PEB（Process Environment Block，进程环境块）是存放进程信息的结构体，尺寸非常大，其大部分内容都已被文档化 PEB访问方法 TEB.ProcessEnvironmentBlock成员就是PEB 结构体的地址。TEB结构体位于FS段选择符所指的段内存的起始地址处，且ProcessEnvironmentBlock成员位于距TEB结构体Offest 30的位置。 即如下式子成立： FS：[30]=TEB.ProcessEnvironmentBlock=address of PEB
静态反调试技术
weixin_30547797的博客
03-05 170
反调试技术大致分为静态反调试和动态反调试 。静态的只要在开始破解一次就可解除全部反调试限制。而动态的则要一边调试，一边破解。这里简单描述下静态反调试的实现方法。许多静态反调试技术对OS有较强的依赖性，这意味着有些反调试技术在不同的平台上可能会失效。 一.PEB(进程环境块) mov eax, dword ptr FS:[0x30] //直接获取P...
Intel X86 的内存寻址模式
cmiao-me
04-30 871
Intel X86 的内存寻址模式 1. 直接寻址（Direct memory addressing mode） 通过立即数直接指定偏移地址，段地址隐含在指令中，当然也可以人为指定段寄存器。 MOV EAX, [0X8FFCBC] MOV EAX, DWORD PTR DS:[0X8FFCBC] 2. 寄存器间接寻址（Register based indirect addressing mode...
根据PEB判断是否被调试
做一个快乐学习者
05-29 528
PEB偏移0x2地方的BeginDebugged标志着当前程序是否被调试 #include <Windows.h> bool CheckDebug() { bool bDebug = false; _asm { push eax //在eax上操作就要先保存好eax的值 mov eax,dword ptr fs:[0x30] //获取PEB mov a...
VTC&TDC技术提升ADC性能：新型SARADC与Ring-TDC应用分析
每个时延单元（Tdly_unit）约为20ps，在22nm工艺下，dff（触发器）采用一级动态结构，仿真结果显示jitter仅为290fs，远小于20ps的时延单位，确保了良好的时间分辨率。 总结来说，这两项创新在ADC设计中实现了速度和...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值