KPCR与进程.md

最新推荐文章于 2019-11-29 16:01:37 发布
最新推荐文章于 2019-11-29 16:01:37 发布
阅读量685 收藏
点赞数
分类专栏： 学习
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/lee_ham/article/details/82961168
版权

KPCR与进程

KPCR

KPCR1

KPCR2

  • (Kernel) Processor Control Region
  • a KPCR for each logical processor
  • KPCR is the means through which the kernel manages them(processors).
  • 由于Windows需要支持多个CPU, 因此Windows内核中为此定义了一套以处理器控制区(Processor Control Region)即KPCR为枢纽的数据结构, 使每个CPU都有个KPCR. 其中KPCR这个结构中有一个域KPRCB(Kernel Processor Control Block)结构, 这个结构扩展了KPCR. 这两个结构用来保存与线程切换相关的全局信息.
  • 在和进程、线程相关的数据结构中，进程控制块和线程控制块是关键，通过这两个数据结构可以按图索骥找到其余的有关数据结构。Windows提供了一系列的获取进程控制块或者线程控制块的函数，
  • In 32-bit Windows, entering kernel mode gets fs loaded with a GDT selector (0x0030) for a segment whose base address is that of the processor’s KPCR.
  • The KPCR conveniently holds its own address in the SelfPcr or Self member, in 32-bit and 64-bit Windows respectively, so that reading just this one member using a segment register override makes the whole KPCR accessible without overrides(就是说KPCR提供了一个很方便的方式来获取其中的内容)
  • Beware, though, that this is the address of the KPCR for the processor that the thread was running on at the time: it remains the address of the current KPCR only while the thread can ensure it is not switched to another processor. (所以就是说每一个进程都会有一个KPCR；除非是线程保证不会转移到其他的processor,才会保持当前的KPCR不变)
  • Before version 6.0, space for the boot processor’s KPCR is allocated by the loader at the fixed address 0xFFDFF000.

KPCR与进程

KPCR2

浅谈一下FS段寄存器在用户层和内核层的使用

在和进程、线程相关的数据结构中，进程控制块和线程控制块是关键，通过这两个数据结构可以按图索骥找到其余的有关数据结构。Windows提供了一系列的获取进程控制块或者线程控制块的函数

首先Windows内核提供了一个函数KeGetCurrentThread函数，用来或者当前线程的KTHREAD结构指针，这个函数的实现方式将在后文中介绍，windows其他获取控制块的函数都是以此函数为基础进行封装的。

1.KeGetCurrentThread – - > PsGetCurrentThread

后者只是前者定义的一个宏。并加上了强制类型转换，因为ETHREAD的一个成员是KTHREAD结构，所以两者的首地址相同。

#define PsGetCurrentThread() ((PETHREAD)KeGetCurrentThread())

2.PsGetCurrentThread – - >IoGetCurrentProcess

IoGetCurrentProcess是以PsGetCurrentThread为基础，封装的函数。

这样，在“常态”下IoGetCurrentProcess所返回的是当前线程所属进程的EPROCESS结构指针，而在挂靠状态下则所返回的是当前线程所挂靠进程的EPROCESS结构指针。

3.IoGetCurrentProcess – - > PsGetCurrentProcess

后者是前者定义的一个宏。

#defind PsGetCurrentProcess IoGetCurrentProcess

4.PsGetCurrentProcess – - > KeGetCurrentProcess

KeGetCurrentProcess是以PsGetCurrentProcess为基础封装的函数，返回值为KPROCESS指针。

PsGetCurrentThread –>IoGetCurrentProcess

KTHREAD（KPROCESS)有是ETHREAD（EPROCESS）结构中的第一个元素，所以两者的地址是一样的

thread和process之间的关系就是挂靠关系，也就是给一个thread可以找到他所依附的process的地址信息。

ETHREAD.Tcb.ApcState.Process指向了该线程对应（或者挂靠）的进程。
ETHREAD.Tcb指向的就是该线程的KTHREAD结构。
内核如何获得当前运行线程的KTHREAD结构

Windows内核中，为每个CPU分配了一套“处理器控制区（Processor Control Region）”，简称KPCR结构。该结构中存放着与线程切换相关的全局信息，包括所需的寄存器和其他的数据结构。

KPCR第三个变量是指向一个“处理器控制块”，即KPRCB数据结构.

KPRCB结构中的第三个成员变量是KTHREAD类型的CurrentThread变量，该变量指向了当前线程的KTHREAD数据结构.

当CPU运行于内核中时，段寄存器FS（所选择的段描述块）总是指向该CPU的KPCR结构的起点，而KPCR中位移为0x1c的字段为Self，指向其所在的KPCR结构的起点。找到CPU的KPCR结构，就可以找到其KPCRB结构，并进而找到其CurrentThread了。

KTHREAD（KPROCESS)有是ETHREAD（EPROCESS）结构中的第一个元素，所以两者的地址是一样的

thread和process之间的关系就是挂靠关系，也就是给一个thread可以找到他所依附的process的地址信息。

ETHREAD.Tcb.ApcState.Process指向了该线程对应（或者挂靠）的进程。
ETHREAD.Tcb指向的就是该线程的KTHREAD结构。

KPCR—KPCRB----current_thread

typedef struct _KPCR {
  KPCR_TIB	Tib;					/* 00 */
  struct _KPCR	*Self;				/* 1C */
  struct _KPRCB	*Prcb;				/* 20 */
  KIRQL	Irql;						/* 24 */
  ULONG	IRR;						/* 28 */
  ULONG	IrrActive;					/* 2C */
  ULONG	IDR;						/* 30 */
  PVOID	KdVersionBlock;				/* 34 */
  PUSHORT	IDT;						/* 38 */
  PUSHORT	GDT;						/* 3C */
  struct _KTSS	*TSS;				/* 40 */
  USHORT	MajorVersion;				/* 44 */
  USHORT	MinorVersion;				/* 46 */
  KAFFINITY	SetMember;				/* 48 */
  ULONG	StallScaleFactor;			/* 4C */
  UCHAR	DebugActive;				/* 50 */
  UCHAR	ProcessorNumber;			/* 51 */
  UCHAR	Reserved;					/* 52 */
  UCHAR	L2CacheAssociativity;		/* 53 */
  ULONG	VdmAlert;					/* 54 */
  ULONG	KernelReserved[14];			/* 58 */
  ULONG	L2CacheSize;				/* 90 */
  ULONG	HalReserved[16];			/* 94 */
  ULONG	InterruptMode;				/* D4 */
  UCHAR	KernelReserved2[0x48];		/* D8 */
  KPRCB	PrcbData;					/* 120 */
} KPCR, *PKPCR;


/* ProcessoR Control Block */
typedef struct _KPRCB {
  USHORT MinorVersion;
  USHORT MajorVersion;
  struct _KTHREAD *CurrentThread;
  struct _KTHREAD *NextThread;
  struct _KTHREAD *IdleThread;
  . . . . . .
  UCHAR CpuType;
  UCHAR CpuID;
  USHORT CpuStep;
  KPROCESSOR_STATE ProcessorState;
  . . . . . .
  PVOID LockQueue[33];	// Used for Queued Spinlocks
  struct _KTHREAD *NpxThread;
  ULONG InterruptCount;
  ULONG KernelTime;
  ULONG UserTime;
  . . . . . .
  struct _KEVENT *DpcEvent;
  UCHAR ThreadDpcEnable;
  BOOLEAN QuantumEnd;
  . . . . . .
  LONG MmPageReadCount;
  LONG MmPageReadIoCount;
  LONG MmCacheReadCount;
  LONG MmCacheIoCount;
  LONG MmDirtyPagesWriteCount;
  . . . . . .
  FX_SAVE_AREA NpxSaveArea;
  PROCESSOR_POWER_STATE PowerState;
} KPRCB, *PKPRCB;

kd> dt _KPRCB
nt!_KPRCB
   +0x000 MinorVersion     : Uint2B
   +0x002 MajorVersion     : Uint2B
   +0x004 CurrentThread    : Ptr32 _KTHREAD
   +0x008 NextThread       : Ptr32 _KTHREAD
   +0x00c IdleThread       : Ptr32 _KTHREAD
 
kd> dt _KTHREAD
nt!_KTHREAD
   +0x000 Header           : _DISPATCHER_HEADER
   +0x010 MutantListHead   : _LIST_ENTRY
   +0x018 InitialStack     : Ptr32 Void
   +0x01c StackLimit       : Ptr32 Void
   +0x020 Teb              : Ptr32 Void
   +0x024 TlsArray         : Ptr32 Void
   +0x028 KernelStack      : Ptr32 Void
   +0x02c DebugActive      : UChar
   +0x02d State            : UChar
   +0x02e Alerted          : [2] UChar
   +0x030 Iopl             : UChar
   +0x031 NpxState         : UChar
   +0x032 Saturation       : Char
   +0x033 Priority         : Char
   +0x034 ApcState         : _KAPC_STATE
kd> dt _KAPC_STATE
nt!_KAPC_STATE
   +0x000 ApcListHead      : [2] _LIST_ENTRY
   +0x010 Process          : Ptr32 _KPROCESS
   +0x014 KernelApcInProgress : UChar
   +0x015 KernelApcPending : UChar
   +0x016 UserApcPending   : UChar

展开KPRCB结构继续观察可以看到FS:[0x124]指向了KTHREAD结构

fs寄存器在Ring0中指向一个称为KPCR的数据结构，即FS段的起点与KPCR结构对齐。而在Ring0中fs寄存器一般为0x30

这样fs:[124]就指向KPRCB数据结构的第四个字节。由于KPRCB比较大，再此就不列出来了。查看其数据结构可以看到第四个字节指向CurrentThead(KTHREAD类型)。这样fs:[124]其实是指向当前线程的_KTHREAD。

一些名词

TSS

a Task State Segment (TSS), defining the current task on the processor;

ETHREAD

an ETHREAD, representing the system thread for the processor’s initial execution;

GDT

the Global Descriptor Table (GDT) for the processor;

IDT

the Interrupt Descriptor Table (IDT) for the processor.

leehaming
关注
专栏目录
进程监控与管理详解
zdd56789的博客
09-17 697
进程的监控和管理详解
通过kpcr 找到system 进程的地址
Flyour的博客
09-12 568
__asm { pushad int 3 mov eax, fs:[0x124] mov ebx, [eax + 0x50] mov eax, 4 mov ecx, ebx SEARCH: mov ecx, [ecx + 0xb8] sub ec...
12.进程挂靠
My classmates
10-22 902
进程与线程的关系: 一个逃程可以包含多个线程 一个进程至少要有一个线程 进程为线程提供资源,也就是提供Cr3的值, Cr3中存储的是页目录表基址, Cr3确定了,线程能访问的内存也就确定了。 进程与线程的关系 线程代码: mov eax, dword ptr ds:(0x12345678] CPU如何解析0x12345678这个地址呢? CPU解析线性地址时要通过页目录表来找对应的物理页,页目录...
KPCR结构体
08-04 1955
@0环的ETHREAD结构体是记录线程的相关信息，EPROCESS结构体是记录进程相关的信息，同样我们每个CPU也有一个结构体来记录每个CPU的状态这个结构体就是KPCR结构体KPCR结构体如下下面该结构体中几个主要的成员， kd> dt _KPCR nt!_KPCR   +0x000 NtTib            : _NT_TIB   +0x01c SelfPcr          ...
漫谈兼容内核之十三:关于“进程挂靠”
周寅的专栏
03-13 2114
     上一篇漫谈在介绍APC机制时提到：线程在Windows内核中运行时有时候需要暂时“挂靠(Attach)”到别的进程的用户空间，即暂时切换到另一个进程的用户空间。这称为“进程挂靠”，因为用户空间是一个进程最主要的特征。    显然，要是当前线程的操作与用户空间无关、不需要访问用户空间，那么当时的用户空间到底是谁的用户空间根本就无关紧要，所以这必定发生在与用户空间有关的操作中。    一般而
35 进程与线程之KPCR
qq_18059143的博客
11-29 393
如果想逆向分析操作系统代码的，需要对段页的汇编代码熟悉，还需要知道三个结构体，进程结构体EPROCESS,ETHREAD,KPCR 下面来介绍KPCR KPCR是描述CPU的，准确说是描述当前正在运行的CPU的数据。 1、KPCR介绍 1) 当线程进入0环时，先切换FS，因为FS指向TEB。FS:[0]指向KPCR(3环时FS:[0] -> TEB) 2) 每个CPU都有一个KPCR...
3.KPCR
史D芬周
02-26 294
3.KPCR KPCR: CPU控制区(Processor Control Region) 当线程进入0环时, FS:[0]指向KPCR(3环时FS[0]-> TEB)每个CPU都有一个KPCR结构体(一个核一个)KPCR中存储了CPU本身要用的一些重要数据: GDT, IDT以及线程相关的一些信息。在winbbg中查看KPCR结构体 ...
chemoactbx.rar_MLR matlab_MLR 光谱_kpcr_matlab NIR_pls
07-15
《MATLAB工具箱在光谱分析中的应用：MLR、PCA、PLS与KPCR》 MATLAB（矩阵实验室）是一种强大的编程环境，尤其在数据分析和科学计算领域有着广泛的应用。在化学、生物和工程等领域，MATLAB工具箱通常被用来处理和...
论文研究-基于KPCR结构的Windows物理内存分析方法.pdf
09-08
介绍了计算机在线取证方式的优势，总结了目前国外在计算机物理内存分析的研究现状及其存在的不足，在此基础上提出了一种新的Windows物理内存分析方法——基于KPCR结构的物理内存分析方法。与传统的物理内存方法相比...
滴水逆向进程与线程
若面朝大海边竹妮春暖花开的博客
11-06 1220
一、进程结构体 EPROCESS是0环进程结构体，PEB是三环进程结构体 EPROCESS的第一个成员为KPROCESS WaitForSingleObject可以等待对象、进程或线程，只要0环对象以DISPATCH_HEADER开头称为可等待对象 DirectoryTableBase为页目录表基址，是要填到Cr3中的值 windbg中dd PsActiveProcessHead查看链...
Windows内核基础之KPCR
tutucoo
12-07 1200
1.概述 KPCR是CPU的一个结构体，它就像EPROCESS对于进程，ETHREAD对于线程，KPCR对于CPU是非常重要的，它的全称是Processor Control Region。 fs:[0]在3环时指向TEB，在0环时指向KPCR，每一个CPU核心都对应着一个KPCR，KPCR存储了CPU需要使用的一些重要信息，比如GDT\IDT以及线程相关的信息 2.KPCR结构体 nt!_KPCR...
读《毛德操：关于进程挂靠》
Netfilter
02-09 5541
WINDOWS 可以创建远程线程，但是linux却不可以，为何？windows是基于对象的，是异步的，在很多情况下都没有进程上下文，试想一下，windows实际 上就像一个超大容器，里面有形形色色各种对象，进程是对象，线程是对象，中断也是对象，文件是对象...，内核管理着这些对象，通过管理它们为用户提供服 务，而如果对象不交互就不需要管理，系统也就没有存在的意义了，实际上系统基于对象实现就是为了提
KPCR
For Geek
05-06 499
ring3下，fs寄存器的指向TEB，ring0下，fs寄存器指向KPCR，KPCR即Kernel Processor Control Region，处理器控制区域，因为Windows是需要支持多个CPU的，所以为每一个CPU在内核空间安排一个KPCR的结构。 KPCR结构如下： nt!_KPCR +0x000 NtTib : _NT_TIB +0x01c Sel...
进程挂靠
qq_41490873的博客
06-07 244
EEMD与进化KPCR在复杂时间序列自适应预测中的应用
7. **比较与优势**：与传统的预测方法相比，该方法在自适应建模能力和预测精度上表现出显著优势，特别是在处理非线性、非平稳的时间序列时。 总结来说，这篇论文提出了一种创新的预测建模技术，结合了EEMD的分解...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值