任务段&任务门

于 2021-04-28 01:30:01 发布
阅读量197 收藏
点赞数 2
分类专栏： # PE 保护模式 文章标签： tss 保护模式
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/Misaka10046/article/details/116205808
版权

TSS段用来权限切换的时候，替换原来寄存器的信息。
TSS段的结构，一共104个字节，里面存放了上一个进程中的寄存器，栈和其他的一些信息

任务门的描述符，也存放在IDT表中。其中的Reserved 都是保留位，不需要自己构造。

在这里插入图片描述
TSS段的描述符，存放在GDT表中。其中TYPE位为9(1001)的时候,说明这个TSS没有加载到TR寄存器中。当TYPE位为B(1011)的时候,说明这个TSS已经加载到了TR寄存器中。
在这里插入图片描述

TR寄存器
在这里插入图片描述

构造过程

观察当前的TSS段描述符在GDT表中的哪个位置。
在这里插入图片描述
可以到地址去观察该结构，发现全是0，只有esp和ss中存放的有数据。
在这里插入图片描述
在其他的位置构造一个TSS段的描述符
在这里插入图片描述
然后通过!process 0 0来获取CR3（页基地址）的值填入，然后就实现了成功的切换
在这里插入图片描述
代码

#include "stdafx.h"
#include <WINDOWS.H>
typedef struct _KTSS
{
    USHORT Backlink;                                                        //0x0
    USHORT Reserved0;                                                       //0x2
    ULONG Esp0;                                                             //0x4保存 0 环栈指针
    USHORT Ss0;                                                             //0x8保存 0 环栈段选择子
    USHORT Reserved1;                                                       //0xa
    ULONG NotUsed1[4];                                                      //0xc
    ULONG CR3;                                                              //0x1c
    ULONG Eip;                                                              //0x20
    ULONG EFlags;                                                           //0x24
    ULONG Eax;                                                              //0x28
    ULONG Ecx;                                                              //0x2c
    ULONG Edx;                                                              //0x30
    ULONG Ebx;                                                              //0x34
    ULONG Esp;                                                              //0x38
    ULONG Ebp;                                                              //0x3c
    ULONG Esi;                                                              //0x40
    ULONG Edi;                                                              //0x44
    USHORT Es;                                                              //0x48
    USHORT Reserved2;                                                       //0x4a
    USHORT Cs;                                                              //0x4c
    USHORT Reserved3;                                                       //0x4e
    USHORT Ss;                                                              //0x50
    USHORT Reserved4;                                                       //0x52
    USHORT Ds;                                                              //0x54
    USHORT Reserved5;                                                       //0x56
    USHORT Fs;                                                              //0x58
    USHORT Reserved6;                                                       //0x5a
    USHORT Gs;                                                              //0x5c
    USHORT Reserved7;                                                       //0x5e
    USHORT LDT;                                                             //0x60
    USHORT Reserved8;                                                       //0x62
    USHORT Flags;                                                           //0x64
    USHORT IoMapBase;                                                       //0x66
}KTSS,*PKTSS; 

KTSS tss = {0};
char esp[0x2000] = {0};
char esp0[0x2000] = {0};
char buf[] = {0,0,0,0,0x48,0x00};
char RET[] = {0,0,0,0,0x28,0x00};       

__declspec(naked) void test()
{
        __asm
        {
                int 3              
                iretd//先检查有无任务嵌套 EFL NT的NT位，然后找TSS的Blink替换寄存器返回    如果NT位为0则会查堆栈返回 所以这个最好先把NT位置1再返回
        }
}

int main()
{
        printf("%x\r\n",(DWORD)&tss);
		system("pause");
        memset(esp,0,sizeof(esp));
        memset(esp0,0,sizeof(esp0));

        tss.Eax = 0;
        tss.Ecx = 0;
        tss.Edx = 0;
        tss.Ebx = 0;

        tss.Ebp = 0;
        tss.Esi = 0;
        tss.Edi = 0;

        tss.Cs = 0x8;
        tss.Ss = 0x10;
        tss.Ds = 0x23;
        tss.Es = 0x23;
        tss.Fs = 0x30;

        tss.Esp = (DWORD)esp + 0x2000 - 4;
        tss.Esp0 = (DWORD)esp0 + 0x2000 - 4;
        tss.Ss0 = 0x10;
        tss.Eip = (DWORD)test;

        DWORD dwCR3 = 0;
        printf("CR3=");
        scanf("%x",&dwCR3);
        tss.CR3 = dwCR3;

        __asm
        {
                call fword ptr buf//也可以JUMP过去 再JUMP回来 JUMP会把原TSS置闲 而CALL不会把原TSS置闲
        }
        return 0;
}

同样也可以通过双重错误，从IDT表跳到任务段中。

// door.cpp : 定义控制台应用程序的入口点。
//

#include "stdafx.h"
#include <WINDOWS.H>

//0x20ac bytes (sizeof)
typedef struct _KTSS
{
    USHORT Backlink;                                                        //0x0
    USHORT Reserved0;                                                       //0x2
    ULONG Esp0;                                                             //0x4
    USHORT Ss0;                                                             //0x8
    USHORT Reserved1;                                                       //0xa
    ULONG NotUsed1[4];                                                      //0xc
    ULONG CR3;                                                              //0x1c
    ULONG Eip;                                                              //0x20
    ULONG EFlags;                                                           //0x24
    ULONG Eax;                                                              //0x28
    ULONG Ecx;                                                              //0x2c
    ULONG Edx;                                                              //0x30
    ULONG Ebx;                                                              //0x34
    ULONG Esp;                                                              //0x38
    ULONG Ebp;                                                              //0x3c
    ULONG Esi;                                                              //0x40
    ULONG Edi;                                                              //0x44
    USHORT Es;                                                              //0x48
    USHORT Reserved2;                                                       //0x4a
    USHORT Cs;                                                              //0x4c
    USHORT Reserved3;                                                       //0x4e
    USHORT Ss;                                                              //0x50
    USHORT Reserved4;                                                       //0x52
    USHORT Ds;                                                              //0x54
    USHORT Reserved5;                                                       //0x56
    USHORT Fs;                                                              //0x58
    USHORT Reserved6;                                                       //0x5a
    USHORT Gs;                                                              //0x5c
    USHORT Reserved7;                                                       //0x5e
    USHORT LDT;                                                             //0x60
    USHORT Reserved8;                                                       //0x62
    USHORT Flags;                                                           //0x64
    USHORT IoMapBase;                                                       //0x66
    //struct _KiIoAccessMap IoMaps[1];                                        //0x68
    //UCHAR IntDirectionMap[32];                                              //0x208c
}KTSS,*PKTSS; 


KTSS tss = {0};

char esp[0x2000] = {0};
char esp0[0x2000] = {0};

char buf[] = {0,0,0,0,0x48,0x00};
char RET[] = {0,0,0,0,0x28,0x00};       

__declspec(naked) void test()
{
        __asm
        {
                int 3              
                iretd
        }
}

int main()
{
		printf("%x\r\n",(DWORD)&test);
        printf("%x\r\n",(DWORD)&tss);
		system("pause");
        memset(esp,0xcc,sizeof(esp));
        memset(esp0,0xcc,sizeof(esp0));

        tss.Eax = 0;
        tss.Ecx = 0;
        tss.Edx = 0;
        tss.Ebx = 0;

        tss.Ebp = 0;
        tss.Esi = 0;
        tss.Edi = 0;

        tss.Cs = 0x8;
        tss.Ss = 0x10;
        tss.Ds = 0x23;
        tss.Es = 0x23;
        tss.Fs = 0x30;

        tss.Esp = (DWORD)esp + 0x2000 - 4;
        tss.Esp0 = (DWORD)esp0 + 0x2000 - 4;
        tss.Ss0 = 0x10;
        tss.Eip = (DWORD)test;

        DWORD dwCR3 = 0;
        printf("CR3=");
        scanf("%x",&dwCR3);
        tss.CR3 = dwCR3;

        _asm{
            int 0x20;
        }
        return 0;
}

修改IDT表，让报错之后能再报一次错转入任务段中
在这里插入图片描述
修改GDT表
在这里插入图片描述
输入CR3的页基址，实现提权
在这里插入图片描述

TIPS

int 3 断下时，如果不恢复eflags寄存器，其就会卡死。
因为当进行TSS跳转时，其会将老的TSS保存在新的TSS头部(上面我们看到），当我们使用iretd返回时，其不是像中断那样根据返回地址，而是根据TSS段选择子找旧的TSS段内存，然后将里面的寄存器全部加载进去。
而INT 3 会清空 VM、NT、IF、TF四个位，其中NT表示嵌套任务段(nested task)，如果清空，其就认为不存在任务段嵌套，直接像常规那样，根据返回地址返回，此时就会出错。
因此就会存在下面一段代码来修改elfags寄存器中的NT位。

    pushfd;
    pop eax;
    or eax,0x4000;
    push eax;
　  popfd;
0xwangliang
关注
  • 2
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
11.任务段及任务门
qq_35129925的博客
03-22 204
了解三个概念： 1.TSS任务段，共104字节，位于内存中 2.TR段寄存器，共96位，位于CPU内 3.TSS段描述符，位于GDT表 TSS（Task-state segment）是一块104字节的内存，用于存储大部分寄存器的值； TSS设计出来的目的是任务切换，或者说是一次性替换一大堆寄存器。 TR寄存器存储了TSS的地址，大小，和TSS门描述符选择子； TSS描述符是GDT表中的一项，操作系统启动时，从门描述符取值初始化TR寄存器。 ...
任务状态段和门
青帝的专栏
10-14 1417
<br />       每一个任务（可以理解为进程）都有一个任务状态段TSS，用于保存任务的有关信息，在任务内变换特权级和任务切换时要用到这些信息。<br />     系统段是为实现存储管理机制所使用的一种特别的段。在80386中，有两种系统段：任务状态段TSS和局部描述附表LDT段（注意：全局描述附表GDT不属于状态段）。不光在高级语言应用或者说用户应用程序编程中用到了数据结构，个人觉得在CPU硬件的支持下，系统编程也是把数据结构发挥的淋漓尽致，甚至CPU硬件支持本身就充分体现了结构化，或者说数据结构
保护模式（六）任务段任务门
weixin_37673331的博客
02-15 459
Windows保护模式学习笔记（五）—— 任务段&任务门 原创 ...
Windows保护模式学习笔记（五）—— 任务段&任务门
qq_41988448的博客
10-18 1920
Windows保护模式学习笔记（五）—— TSS/TR段寄存器/TSS段描述符前言要点回顾TSSTR段寄存器TR段寄存器的读写TSS段描述符实验：加载自定义TSS 前言 一、学习自滴水编程达人中级班课程，官网：https://bcdaren.com 二、海东老师牛逼！ 要点回顾 在调用门、中断门与陷阱门中，一旦出现权限切换，那么就会有堆栈的切换；而且，由于CS的CPL发生改变，也导致了SS也...
Cruise计算任务说明
03-20
Cruise计算任务说明 Cruise联合仿真参数设置、计算任务、专业英文单词解释 Cruise是一个专业的仿真软件，主要用于汽车行业的仿真计算和分析。下面将对Cruise的计算任务和参数设置进行详细的解释。 循环工况...
《计算机网络》课程设计任务书.doc
03-23
5. 课设总结：总结可以包括：课程设计过程的收获、遇到问题、遇到问题解决问题过程的思考、程序调试能力的思考、对计算机网络这门课程的思考、在课程设计过程中对《计算机网络》课程的认识等内容。 五、设计题目 ...
Dreamweaver网页设计 形考任务八
12-22
在本形考任务中，我们将聚焦于使用Dreamweaver进行网页设计，并且特别关注如何通过HTML调用JavaScript来实现一项常见的网页特效——滑动门选项卡。滑动门选项卡是一种增强用户交互体验的设计，它允许用户通过点击...
任务书ssm036基于Java的图书管理系统+jsp任务书.doc
08-30
通过大学几年的学习，已经学习了诸如软件工程、数据库原理及应用、数据结构、JSP、JAVA 等多门程序设计语言和网络等基础知识和专业知识，学生有能力而且可以独立完成小中型项目的设计与开发。 具体功能块实现： 本...
微机原理课程设计任务书课件PPT
01-27
这份“微机原理课程设计任务书课件PPT”提供了45页的详细内容，旨在帮助学生深入理解和掌握微机原理的相关知识。 在课程设计中，通常会涉及以下几个核心知识点： 1. 计算机系统概述：讲解计算机的五大组成部分——...
13-任务状态段（TSS）
热门推荐
进击的小学生
09-24 1万+
任务状态段不要被名字所吓倒，它不过是一块位于内存中的结构体而已。有一点需要注意的是，不要把它和任务切换关联起来（切记），否则你会被搞晕，它只是位于内存中的一段数据。Intel 白皮书给出TSS在内存中的图是这样的，它保存了一些重要的值。 抽象成结构体就是下面这个样子。struct TSS { DWORD link, // 保存前一个 TSS 段选择子，使用 call 指令切换寄
任务段进行任务切换，Jmp Call指令实现任务切换
taolaodawho的博客
10-18 1470
任务段描述符的格式我们就不说了太基本了，它的Base指向TSS结构的地址，Limit设置为0x68就够了TSS结构的大小就是104个字节，我们之前讲过，通过中断门，调用们提权的时候 ring0的堆栈ESP和SS都是TSS提供的，TSS结构每个核只有一个和KPCR结构一样，每当线程切换的时候会把当前线程的ESP0写入TSS结构中（以后进行线程切换逆向的时候会找到具体的代码），所以我们所Ring3提权到Ring0得到ESP都是当前线程的Ring的栈顶。 TSS是CPU设计的实现多...
jQuery多任务都返回后执行方法
wenlong1364的博客
05-09 679
请求1（req1）和请求2（req2）均执行完成后，执行done里的方法，data1，和data2分别为请求1和2的返回数据。jQuery.when(jQuery.ajax(req1),jQuery.ajax(req2)).done(function(data1,data2){ alert(data1[0]);//请求1返回的数据 alert(data1[1]);//请求1返回的状态 alert(...
任务门及任务切换
MJ_Lee的博客
02-23 693
1.利用中断引发任务切换： 1.1中断描述符表IDT： 在保护模式下，实模式下中断向量表不再使用，取而代之的是中断描述符表IDT。IDT与GDT,LDT一样，用于保存描述符；但IDT保存的是门描述符：中断门、陷阱门、任务门； 1.2任务门 中断发生时，如果中断号对应的门是任务门，则必须进行任务切换； 任务门描述符格式： P位指示该门是否有效，0不允许通过此门实施任务切换； DPL为任务门描述...
学习驱动程序过程中的点点滴滴
danxuezx的专栏
08-28 917
 这里是我学习过程中我觉得有必要记下来的，以免下次再去看英文……IoCreateDevice参数问题：      此函数是用来创建设备的。其各个参数含义如下：      DriverObject ：从I/O管理器中传进来的驱动对象，这个参数是系统通过DriverEntry的第一个参数传进来的。      DeviceExtensionSize：指定设备扩展结构体的大小。此结构体是自
TSS（任务状态段） TSS描述符 任务寄存器（TR） 任务门描述符 学习总结
chen1540524015的博客
07-01 1万+
1 任务状态段（TSS） 任务状态段（Task-State Segment(TSS)），保存任务状态信息的系统段为任务状态段。图7-2描述32位CPU的TSS信息。TSS主要分为动态字段和静态字段。 在任务切换过程中当任务挂起时，处理器会更新动态字段，动态字段有：  （1）通用寄存器字段—任务切换之前，EAX,ECX,EDX,EBX,ESP,EBP,ESI,EDI寄存器状态。 
15-任务门
进击的小学生
09-24 3748
任务门上一节已经基本掌握了使用 call/jmp 去访问一个任务段，来达到切换一堆寄存器的目的。但是，CPU同时又提供了另一种方法让我们访问任务段——任务门。而任务门是安装在 IDT 表中的。之前学中断门的时候，就简单介绍了IDT表中可以安装中断门、陷阱门，还有一个当时只是稍微提了一下，那就是任务门。说白了就是想表达，IDT 表中只可以安装 3 种门：中断门、陷阱门和任务门。思考一下，既然都可以使用
nginx资源useless，don't download
07-09
nginx资源useless，don't download
util-linux-2.37.2.tar.xz
最新发布
07-09
util-linux-2.37.2.tar.xz

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值