39.windbg-CPU基础（dg）

1. 标志寄存器

      DF（Direction flag) 方向标志，为1时使用字符串指令每次操作后递减变址寄存器（ESI和EDI），为0时递增.

CF位可以由STC和CLC指令来设置和清除，DF位可由STD和CLD指令来设置和清除（ST：set,CL: clear）

随意写段代码测试:

	__asm
	{
		pushad
		int 3
	    CLC
		STC
		CLC
		popad
	}

2.控制寄存器

    CR0和CR4包含了很多与CPU工作模式关系密切的重要标志位

3.其他寄存器

  EIP指向的是CPU要执行的下一条指令,其值为该指令在当前代码段中的偏移地址，如果一条指令有多个字节，那么EIP指向的是该指令的第一个字节.

4. 描绘符表

在一个多任务系统中通常会同时存在很多的任务，每个任务会涉及多个段，每个段需要一个段描绘符，系统通过线性表来存放段描述符

一个系统中通常只有一个GDT表，在32位下，长度为48位，高32位是基地址，低16位是边界，在64位下，长度为80位，高64位为基地址，低16位是边界

可以用windbg查看，注意的是必须在内核模式下：

以上显示GDT的边界是3ff=1023,总长度为1024个字节

cs,ds,ss,es,fs和gs是6个16位的段寄存器，在保护模式下，段寄存器内存放的是段选择子

5.观察段寄存器（段选择子)

0:001> r cs
cs=0000001b
0:001> dg 1b
                                  P Si Gr Pr Lo
Sel    Base     Limit     Type    l ze an es ng Flags
---- -------- -------- ---------- - -- -- -- -- --------
001B 00000000 ffffffff Code RE Ac 3 Bg Pg P  Nl 00000cfb

其中Sel表示选择子，base和limit分别是基地址和边界，type是段的类型，RE代表只读和可执行,Ac表示被访问过，PI为3是ring3特权级,Bg(big)表示为32位代码，

Gran表示粒度，Pg意味着粒度的单位是内存而(4KB) , Pres代表Present即这个段是否在内存中，Long下的N1表示Not Long，意味着这不是64位代码.

注意的是FS存放的是当前线程的TEB结构：

0:000> r fs
fs=0000003b
0:000> dg 3b
                                  P Si Gr Pr Lo
Sel    Base     Limit     Type    l ze an es ng Flags
---- -------- -------- ---------- - -- -- -- -- --------
003B 7ffde000 00000fff Data RW Ac 3 Bg By P  Nl 000004f3
0:000> ~
.  0  Id: be8.524 Suspend: 1 Teb: 7ffde000 Unfrozen
#  1  Id: be8.2044 Suspend: 1 Teb: 7ffdd000 Unfrozen
0:000> r fs
fs=0000003b
0:000> dg 3b
                                  P Si Gr Pr Lo
Sel    Base     Limit     Type    l ze an es ng Flags
---- -------- -------- ---------- - -- -- -- -- --------
003B 7ffde000 00000fff Data RW Ac 3 Bg By P  Nl 000004f3
0:000> ~1s
eax=7ffdd000 ebx=00000000 ecx=00000000 edx=77a0f17d esi=00000000 edi=00000000
eip=779a410c esp=0181f958 ebp=0181f984 iopl=0         nv up ei pl zr na pe nc
cs=001b  ss=0023  ds=0023  es=0023  fs=003b  gs=0000             efl=00000246
ntdll!DbgBreakPoint:
779a410c cc              int     3
0:001> r fs
fs=0000003b
0:001> dg 3b
                                  P Si Gr Pr Lo
Sel    Base     Limit     Type    l ze an es ng Flags
---- -------- -------- ---------- - -- -- -- -- --------
003B 7ffdd000 00000fff Data RW Ac 3 Bg By P  Nl 000004f3

仔细观察，我们会发现在不同的线程中 dg fs的Base总是指向当前线程的teb结构首地址