进程与线程之Windows线程切换——TSS

SwapContext这个函数是Windows线程切换的核心,无论是主动切换还,是系统时钟导致的线程切换,最终都会调用这个函数。

在这个函数中除了切换堆栈以外,还做了很多其他的事情,了解这些细节对我们学习操作系统至关重要。

下面我们看看线程切换与TSS的关系。

栈底开始往上0x210个字节存储浮点寄存器的值，以上都是TrapFrame结构（在api3环进0环已经讲过了）。

调用API进0环

普通调用：通过TSS.ESP0得到0环堆栈

快速调用：从MSR得到一个临时0环栈,代码执行后仍然通过TSS.esp0得到当前线程0环堆栈。

---

---

TSS：

Intel设计TSS的目的是为了任务切换(线程切换),但Windows与Linux , 并没有使用。而是采用堆栈来保存线程的各种寄存器。

一个CPU只有一个TSS.但是线程很多,如何用一个TSS来保存所有线程的ESP0呢?

下面来看看SwapContext代码分析

SwapContext     proc near               ; CODE XREF: KiUnlockDispatcherDatabase(x)+72p
                                        ; KiSwapContext(x)+29p ...
                or      cl, cl
                mov es:[esi+_ETHREAD.Tcb.State],2 ; _KTHREAD(+0x2d state)改为2
                pushf                   ; 存储当前的EFLAGS寄存器

loc_40492C:                             ; CODE XREF: KiIdleLoop()+5Aj
                mov ecx,[ebx+KPCR+NtTib.ExceptionList] ; ebx存储KPCR的地址 此处是读出异常链表 3环的FS:[0]
                cmp [ebx+KPCR.PrcbData.DpcRoutineActive],0 ; 是否有DPC有就蓝屏
                push    ecx
                jnz     loc_404A70
                cmp     ds:_PPerfGlobalGroupMask, 0 ; LOG用的 Windows自己调试用的别的地方没用
                jnz     loc_404A47

loc_404949:                             ; CODE XREF: SwapContext+12Bj
                                        ; SwapContext+13Cj ...
                mov     ebp, cr0        ; CR0中的保护控制位
                mov     edx, ebp
                mov     cl, [esi+2Ch]
                mov     [ebx+50h], cl
                cli
                mov [edi+_ETHREAD.Tcb.KernelStack],esp ; 将当前的esp存储到原线程结构中
                mov eax,[_ETHREAD.Tcb.InitialStack] ; 目标线程栈底
                mov ecx,[esi+_ETHREAD.Tcb.StackLimt]
                sub     eax, 210h       ; -210h 浮点寄存器
                mov [ebx+KPCR.NtTib.StackLimit],ecx
                mov [ebx+KPCR.NtTib.StackBase],eax
                xor     ecx, ecx
                mov cl,[esi+_ETHREAD.Tcb.NpxState] ; NpxState 浮点寄存器 运行浮点用这个 没运行就不用
                and     edx, 0FFFFFFF1h ; 判断NpxState有没有浮点支持
                                        ; 如果上一个线程和要替换的线程对浮点支持是一样的那就不用换CP0 如果不一样
                or      ecx, edx
                or      ecx, [eax+20Ch]
                cmp     ebp, ecx
                jnz     loc_404A3F
                lea     ecx, [ecx]

loc_404983: 
                test    dword ptr [eax-1Ch], 20000h
                jnz     short loc_40498F ; 通过KPCR取出TSS
                sub     eax, 10h        ; 再减去10h(虚拟8086模式下使用 TrapFrame结构)

loc_40498F:
                mov ecx,[ebx+KPCR.TSS]  ; 通过KPCR取出TSS
                mov     [ecx+4], eax    ; 将修正后的栈底储存到TSS中
                mov esp,[_ETHREAD.Tcb.KernelStatck] ; 将目标线程的ESP存储到ESP中
                mov eax,[esi+_ETHREAD.Tcb.Teb] ; 当前线程有很多状态一份在ETHREAD里面
                                        ; 还有一个备份在FS中
                mov ecx,[ebx+KPCR.TSS]  ; 通过KPCR取TSS
                sti
                mov eax,[edi+_ETHREAD.Tcb.ApcState.Process]
                cmp eax,[esi+_ETHREAD.Tcb.ApcState.Process]
                mov [edi+_ETHREAD.Tcb.IdleSwapBlock],0
                jz      short loc_4049D7 ; 如果是一个进程内的线程切换 跳转
                mov edi,[esi+_ETHREAD.Tcb.ApcState.Process] ; 如果不是一个进程 取出目标线程_KPROCESS
                test [edi+_ETHREAD.pcb.LdtDescriptor.LimitLow],0FFFFh ; 判断LdtDescriptor是否为-1
                jnz     short loc_404A11
                xor     eax, eax

loc_4049B8: 
                lldt    ax
                xor     eax, eax
                mov     gs, eax         ; GS段寄存器清0 这个能解释清除 位什么在3环单步执行 GS会清0
                assume gs:GAP
                mov eax,[edi+_EPROCESS.Pcb.DirectoryTableBase] ; 得到目标线程CR3
                mov ebp,[ebx+KPCR.TSS]  ; TSS寄存器
                mov ecx,dword ptr[edi+_EPROCESS.Pcb.IopmOffset]
                mov     [ebp+1Ch], eax  ; 将当前TSS中的CR3修改为目标进程的CR3
                mov     cr3, eax        ; 切换CR3
                mov     [ebp+66h], cx   ; 存储IO权限位图到TSS 当前线程的IO权限位图 Windows2000以后不用了
                jmp     short loc_4049D7
; ---------------------------------------------------------------------------
                db 8Dh, 49h, 0
; ---------------------------------------------------------------------------

loc_4049D7: 
                mov     eax, [ebx+18h]
                mov     ecx, [ebx+3Ch]
                mov     [ecx+3Ah], ax
                shr     eax, 10h
                mov     [ecx+3Ch], al
                mov     [ecx+3Fh], ah
                inc     dword ptr [esi+4Ch]
                inc     dword ptr [ebx+61Ch]
                pop     ecx
                mov     [ebx], ecx
                cmp     byte ptr [esi+49h], 0
                jnz     short loc_404A00
                popf
                xor     eax, eax
                retn

Windows下并没有使用TSS实现线程切换，只有3个用到的分别是esp0，cr3，io权限位图，io权限位图从Windows2000以后就没使用了。