Windows x64内核学习笔记（二）—— IA-32e模式

已于 2022-02-28 15:00:21 修改
阅读量2.9k 收藏 13
点赞数 1
分类专栏： x64内核 文章标签： windows x64 内核
于 2022-02-24 17:51:40 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_41988448/article/details/123111860
版权

Windows x64内核学习笔记（二）—— IA-32e模式

IA-32e模式

描述：IA-32e是IA-32模式的扩展，它是一种状态，其内核为64位，用户可以是32位，也可以是64位。

题外话：当在64位CPU中安装32位操作系统时，内核和用户都是32位的，这种状态叫做Legacy模式。

IA-32e模式的几个特性：

  1. 强制平坦段：段基址不可随意设置，即不再兼容16位模式了。
  2. 不支持任务切换：取消了TSS任务切换
  3. 取消了虚拟8086模式和实模式切换

模式检测

描述：如果IA32_EFER MSR（下标为0xC0000080）寄存器的值第八位为1，说明当前系统处于IA-32e模式。
在这里插入图片描述

强制平坦段

描述：在x64模式下，段描述符已经不再描述段的基址和界限（除了FS和GS），因此把这种机制叫做强制平坦段。

对于x64模式的gdt表来说，段描述符比x86系统少了很多，这是因为x64将侧重点放在了页保护而不是段保护。在这里插入图片描述
关于64位段描述符的具体结构可以参考Intel开发手册卷3图5-2。
在这里插入图片描述
其中，L位为0表示兼容模式（x86模式），为1则表示x64模式。

可以通过Windbg的「dg offset」命令解析段描述符的具体属性。
在这里插入图片描述

任务切换

描述：

  1. 在IA-32e模式下，TSS段描述符扩展到128位，用于满足寻址要求（普通段寄存器不再需要基址和界限）。
  2. TSS段描述符不用来进行任务切换，而是主要保存一堆RSP的备用指针（当3环和0环发生任务切换时）。

查看TSS数据：

  1. TSS段描述符的基址低四字节位于gdtr+40
    在这里插入图片描述
    直接读是什么也读不到的
    在这里插入图片描述

  2. TSS段基址的高四字节位于gdtr+48
    在这里插入图片描述

  3. 凑在一起就能读出来具体的值了
    在这里插入图片描述
    x64模式中TSS的具体结构可以参考Intel开发手册卷3图7-11。
    在这里插入图片描述
    可以看到，它的前4个字节时保留的，因此在查看的时候需要跳过四个字节。
    在这里插入图片描述

中断门描述符

描述：在x64模式中，中断门描述符也拓展到了128位，这样才能满足寻址要求。
在这里插入图片描述
具体的中断门描述符结构参考Intel开发手册卷3图6-8
在这里插入图片描述
其中，IST位表示当进入中断门时，使用TSS中的哪一项。
在这里插入图片描述
不难发现，大部分中断门描述符的IST位都是0，只有少数是有值的。

为0的时候，使用TSS中的RSP0，其他时候使用IST对应的下标。

对照中断函数列表看一下IST有值的项分别都对应什么函数。
在这里插入图片描述
可以看到，都是一些比较重要的中断处理程序，当执行这些函数时，需要切换到特定的堆栈。

FS / GS

描述：在x64系统中，当处于0环时，FS不再指向KPCR，而是由GS指向KPCR，在3环时GS指向TEB。

并且x64不再支持调用门、陷阱门、任务门，一律只支持中断门。

思考：为什么要这么做呢？
答案：因为如果通过其他门进去后再去关中断，那么执行关中断的指令时，如果产生了外部中断，由于此时FS寄存器和GS寄存器还没被正确设置，因此可能会产生错误，而调用中断门时，系统会自动将EFLAGS中的IF位清零，即关闭外部中断。

再思考：既然x64已经将段寄存器强制平坦了，FS和GS的基址该去哪里找呢？
答案：三个MSR寄存器。

  1. IA32_FS_BASE（下标0xC0000100）
  2. IA32_GS_BASE（下标0xC0000101）
  3. IA32_KERNEL_GS_BASE（下标0xC0000102）

模式切换

中断：只使用一张IDT表，内核可以根据栈上的CS判断先前模式。

系统调用：

  1. 只使用一张SSDT表
  2. 64位程序通过syscall进入内核
  3. 32位程序在ring3转入x64模式再进入内核

32位程序进内核

描述：32位程序在进入内核前，会先将环境转换成x64模式。

以32位notepad.exe为例，尝试使用x32dbg附加上去。
在这里插入图片描述
可以看到，如果在x64系统中运行32位程序，CS的段选择子默认为23。
在这里插入图片描述
看一下对应的段描述符。
在这里插入图片描述
其中，起关键性作用的是L位（Long），这里为0，说明程序目前在兼容模式下运行，即x86模式。
在这里插入图片描述
或者用dg命令看一下，NL表示「Not Long」，即该段为兼容模式。
在这里插入图片描述
然后，以NtOpenProcess函数为例，在其首地址设置断点，看一下32位程序是如何进入内核的。
在这里插入图片描述

尝试使用记事本打开文件，会触发该断点。
在这里插入图片描述
在这里插入图片描述
断下来之后，发现将中断号和一个地址放入调用了EDX并调用，这里跟入CALL。
在这里插入图片描述
发现里面是一条JMP指令，指向Wow64Transition，看函数名像是与64位模式转换相关，跳过去看看。
在这里插入图片描述
关键部分来了，这里有一条JMP FAR长调用指令，这条指令在跳转到0x77646009地址的同时将段选择子切换到了0x33。

先看一下0x77646009地址的指令，让ECX加了1，然后下方看上去似乎是一条跳转指令，而我们观察一下EDI的值，发现里面保存的根本是一个无效地址。
在这里插入图片描述
这是怎么回事呢？其实关键点出在段选择子的切换上，让我们看一下段选择子0x33指向的段描述符。
在这里插入图片描述
在这个新的段描述符中，L位为1，表示该段为x64模式。
在这里插入图片描述
也可以使用dg命令看一下，此时的Lo表示「Long」。
在这里插入图片描述
那么到这里就比较清楚了，原来经过了CALL FAR长调用之后，CS段选择子切换到了33，又因为段描述符中L位为1，即x64模式，所以之后的硬编码所对应的指令也都切换到了x64指令。

怎么看具体的指令是什么呢？可以尝试打开一个64位的程序（笔者选择64位的notepad.exe），使用x64dbg附加，然后随便找一条汇编指令，修改它的硬编码，看看之前那个地址77646009真正要执行的指令是什么。
在这里插入图片描述
可以看到，硬编码41 FF A7 F8 00 00 00在32位模式下对应的指令有两条：

41						INC ECX
FF A7 F8 00 00 00		JMP DWORD PTR DS:[EDI+F8]

而在64位模式下对应的指令只有一条，也是32位程序进入内核时真正要执行的指令：

41:FFA7 F8 00 00 00		JMP QWORD PTR DS:[R15+0xF8]

这说明，在一个EXE程序中，能够既包含32位代码，又包含64位代码。

思考：如果在地址77646009设置执行断点，然后单步执行JMP FAR指令，能不能成功断下来进行调试呢？
答案：不能。

如果直接在3环调试器单步执行该CALL FAR指令的话，会直接跳到模式切换回来之后的地方 ，即NtOpenProcess返回的位置。
在这里插入图片描述
如果想要调试77646009部分的代码，只能使用WinDbg进行调试。

定位进程的时候，不知道为什么出现了两个notepad_x32.exe，实际只打开了一个，不管了，试试选择第二个进程。
在这里插入图片描述
用WinDbg附加上去。
在这里插入图片描述
在77646000设置一个断点。

kd> bp 77646000
kd> g		//让虚拟机继续运行，等待触发NtOpenProcess，获得中断。

获得中断后，停在了77646000地址，就是长调用的位置，看一下当前所在地址的汇编指定。
在这里插入图片描述
因为这个时候长调用还没有执行，还没进入x64模式，因此汇编指令目前还是被解析成32位指令。

此时，CS段选择子为0x23：
在这里插入图片描述

现在单步执行（t）这条jmp far指令，进入x64模式，来到77646009，此时汇编指令发生了变化，变成了x64汇编指令。
在这里插入图片描述
此时，CS段选择子也切换到了0x33：
在这里插入图片描述
如果继续跟的话，会发现程序最终将走到64位系统模块中，通过64位模块进入内核。

使用64位CE查看32位进程的模块列表，能够发现进程环境中是有64位模块的。
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述

64位程序进内核

描述：64位程序进内核的方式则要简单得多，直接调用syscall指令。

以64位notepad.exe为例，尝试使用x64dbg附加上去。
在这里插入图片描述
同样地，尝试在NtOpenProcess函数设置断点。
在这里插入图片描述

接着让程序跑起来，尝试用notepad打开一个文件，让程序中断下来。
在这里插入图片描述
在这里插入图片描述
可以看到，实际上断点设在了ZwOpenProcess函数，进入内核的方式也十分简单，就是直接调用syscall指令。

实验：模式切换

描述：既然程序可以在进入内核前，在ntdll.dll中进行模式切换，说明我们也可以在自己写的代码中进行模式切换。

第一步：编译以下代码

编译后的程序名为SwitchMode.exe

#include <stdio.h>
#include <windows.h>

unsigned char jmp_far[11] = { 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x23, 0x00 };

void EditCode(LPVOID dest, LPVOID src)
{
	LPVOID lpAddress;
	DWORD dwOldProtect;

	__asm
	{
		mov eax, dword ptr [dest]
		mov dword ptr [lpAddress], eax
	}
	VirtualProtect((LPVOID)lpAddress, 4, PAGE_EXECUTE_READWRITE, &dwOldProtect);
	__asm
	{
		mov esi, dword ptr [src]
		mov edi, dword ptr [dest]
		mov dword ptr [edi], esi
	}
}

int main()
{
	unsigned int* secret;

	/* 到第一个system("pause")为止，都是在动态修复代码偏移量 */

	//mov cwortd ptr [L4], jmp_far
	__asm
	{
		lea eax, jmp_far
		push eax
		push L4
		call EditCode
		add esp, 8
	}

	//mov dword ptr [jmp_far+0], L5
	__asm
	{
		push offset L5
		lea eax, jmp_far
		push eax
		call EditCode
		add esp, 8
	}

	//mov dword ptr [L3], secret
	__asm
	{
		lea eax, secret
		push eax
		push offset L3
		call EditCode
		add esp, 8
	}

	//mov dword ptr [L1], L2
	__asm
	{
		push offset L2
		push offset L1
		call EditCode
		add esp, 8
	}

	system("pause");	//暂停一下

	//切换到x64模式
	__asm
	{
		__emit 0xEA
L1:		//填充为L2的地址
		__emit 0x00
		__emit 0x00
		__emit 0x00
		__emit 0x00

		__emit 0x33
		__emit 0x00
	}
	
L2:
	//mov r12d, 0x12345678
	__asm
	{
		__emit 0x41
		__emit 0xBC
		__emit 0x78
		__emit 0x56
		__emit 0x34
		__emit 0x12
	}

	//mov dword ptr [secret], r12d
	__asm
	{
		__emit 0x44
		__emit 0x89
		__emit 0x24
		__emit 0x25
L3:		//填充为secret的地址
		__emit 0x00
		__emit 0x00
		__emit 0x00
		__emit 0x00

	}

	//切换到32位模式
	__asm
	{
		//mov rax, jmp_far
		__emit 0x44
		__emit 0xB8
L4:		//填充为数组jmp_far的地址
		__emit 0x00
		__emit 0x00
		__emit 0x00
		__emit 0x00

		//jmp far tword ptr ds:[rax]
		__emit 0x48
		__emit 0xFF
		__emit 0x28
	}

L5:
	printf("%x\n", secret);
	system("pause");

	return 0;
}

第二步：运行程序至第一次暂停处

在这里插入图片描述

第三步：使用WinDbg附加进程

在这里插入图片描述

第四步：在关键位置设置断点

需要在地址4119FA设置断点，这条指令执行后，将切换到x64模式，程序暂停前，会将jmp far的目标地址改成411A01。
在这里插入图片描述
在这里插入图片描述

第五步：让程序运行至断点位置

在这里插入图片描述
目前411A01的指令被解析为32位指令。

第六步：单步调试

切换模式后，411A01的指令被重新解析成64位指令。
在这里插入图片描述
可以看到，32位程序一旦切换成x64模式，就可以使用本不应该出现的64位寄存器了。

这里通过r12寄存器向secret中写入数据，如果用普通的调试器，无法跟踪模式切换后的代码，是发现不了的。

设置好secret的值之后，紧接着便将模式切换回32位模式，这里需要使用jmp far tword指令（tword表示十个字节，前八个字节为目标地址，后两个字节指向段描述符偏移）。
在这里插入图片描述
切换回32位模式之后，便将secret的值打印出来，但如果使用普通的调试器，是无法发现secret的值是什么时候设置的。
在这里插入图片描述

参考资料

lzyddf
关注
  • 1
    点赞
  • 踩
  • 13
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
驱动编程学习5/IA-32e模式
Oldpudding的博客
11-19 899
文章目录IA-32e模式基础介绍段描述符权限切换x64用户态切换权限x86用户态切换权限总结 IA-32e模式 基础介绍 内核64位，用户64位或32位（内核均为64位代码） IA32_EFER MSR C0000080H 中的值的第8位为1时，系统处于IA-32模式。 在Intel手册上IA32_EFER MSR寄存器构造如下图所示，第8位的含义为IA-32e模式的启动标志位。 在WinDbg中查看IA32_EFER标志位的命令如下： rdmsr c0000080 在本机的查询结果如下图所示：
Windows x64内核学习笔记（三）—— SMEP & SMAP
qq_41988448的博客
02-28 2847
Windows x64内核学习笔记（三）—— SMAP & SMEP参考资料 参考资料 bilibili周壑：x64内核研究系列教程
IA-32e模式学习小插曲
最新发布
qq_45711131的博客
05-22 959
​ 本文从调试Linux 6.9系统调用时观察到的ds选择子清零出发，探索了intel 64下为什么允许一些段寄存器清零。在解决ds清零程序仍可以正常运行的过程中，了解到代码段描述符的CS.L位的含义，发出了32位程序该如何进行系统调用的疑问，然后笔者设计了实验来手动的在32位应用程序中进行64位的系统调用。印字符，这样就不需要引入stdio.h了）***​ 本文从调试Linux 6.9系统调用时观察到的ds选择子清零出发，探索了intel 64下为什么允许一些段寄存器清零。
IA-32e模式
qq_41490873的博客
09-29 541
64位下的CS段描述符 L：如果是64位模式，该标志位1 64位下强制平坦模式，段描述符不再描述段的基址和LIMIT。 WINDBG下使用dg+偏移来解析段描述符 TSS段描述符 TSS在64位下是128位的 保存的是0环的栈指针 RSP0 IDT表也扩展为128位 WINDBG中查看IDT dqidtr 查看具体的中断号 !idt 0 ...
（操作系统开发）从实模式----＞保护模式----＞IA-32e模式（ 64位模式)
weixin_42492218的博客
11-11 1392
从实模式进入保护模式：哪些任务必须在进入保护模式之前完成？ 保护模式---->IA-32e模式（ 64位模式)：哪些任务必须在进入IA-32e模式（ 64位模式)之前完成？
IA-32e架构下的内核初始化内存管理
anmin1992的专栏
10-17 105
初级内存管理单元 关于内存的分页 以往的物理页是按照4KB进行分配和管理的, 而在Linux之后流行的就是2MB大小的物理页的分配和管理, 整个物理内存管理单元也是2MB物理页管理的 先获取基本的物理地址空间信息 在bootloader程序中, 已经调用了BIOS的int 15h中断将物理内存地址的结构体放置到了1MB之下的物理地址0x7e00处, 我们需要将其提取出来 每一条物理...
x64保护模式_IA-32e
u013677637的博客
08-17 882
Ia-32e
Intel 64 和 IA-32 微架构
01-31
《Intel 64和IA-32微架构》是英特尔公司设计的一种处理器架构，它涵盖了从 IA-32 到 Intel 64 的发展历程，这两种架构在个人计算机领域扮演着至关重要的角色。Intel 64（也称为 x86-64 或 amd64）是对 IA-32 的扩展...
英特尔 64 位和 IA-32 架构软件开发人员手册（全套最新）+最新历史更新说明-2022年4月
10-04
而英特尔64位架构，也称为EM64T或x64，是在IA-32基础上扩展的64位版本，它在保留向后兼容性的同时，提供了更大的虚拟地址空间和更高的性能潜力。 手册中的主要内容可能包括以下几个方面： 1. **处理器架构**：详细...
IA-32卷3：系统编程指南中文版
06-15
《IA-32卷3：系统编程指南》是Intel公司为IA-32架构处理器编写的一本详尽的技术参考手册，旨在帮助系统程序员理解和利用IA-32架构的特性和功能进行高效、稳定的系统级编程。这本书涵盖了处理器的硬件接口、系统管理...
Vysor-win32-ia32.exe
10-07
vysor windows版本 一键使用,面前chrome插件安装的麻烦 vysor windows版本 一键使用,面前chrome插件安装的麻烦 vysor windows版本 一键使用,面前chrome插件安装的麻烦 vysor windows版本 一键使用,面前chrome插件安装的麻烦
nwjs-v0.12.3-win-ia32.zip
08-21
NW.js is an app runtime based on Chromium and node.js. You can write native apps in HTML and JavaScript with NW.js. It also lets you call Node.js modules directly from the DOM and enables a new way of writing native applications with all Web technologies.
COFUOS:在IA32e上的OS实现以运行简单的COFF（.exe）程序
04-06
古佛斯 通过在x86-64机器上运行的Hobbyist操作系统。 参见先前的作品： ， 我对软硬接口和与OS相关的东西感兴趣，并尝试尽可能地自己实现模块，以更好地了解整个系统。
EFI shell命令工具IA32和X64版本
12-29
在EFI shell命令下flash uefi bios 以及运行一些.efi的工具 可以通过U盘进去efi shell U盘的格式FAT类型
Windows x64内核模块-HelloWorld
07-25
Windows内核安全与驱动开发书的第一个示例程序，在新版本开发环境中调试通过，使用Visual Studio 2017加上WDK 1803环境编译。在调试过程中，由于x64驱动程序禁止使用嵌入汇编，采用Shellcode方式进行软件中断调用，...
实模式、保护模式、虚拟8086模式和IA-32e模式
elv的专栏
04-30 2855
From: http://www.cnblogs.com/jnet/archive/2008/05/12/1193675.html ­一直以来，都搞不清楚这几个概念。在网上搜了一下，把它晒上，不会再忘记！ 有其它的内容，请看到的朋友请补充。 从80386开始，cpu有三种工作方式：实模式，保护模式和虚拟8086模式。只有在刚刚启动的时候是real-mode，等到linux操作系统运行起
Windows(IA-32e模式)系统调用
m0_43422086的博客
11-16 1838
一、本文主题 Windows NT是一个面向分层的操作系统，最底层是硬件，最高层使用户接口，Windows采用这种模式来保护内核不被应用程序错误的波及，操作系统核心运行在内核层(Ring 0 )，用户模式运行在应用层(Ring 3)。这只是操作系统分层的抽象概念。而本文旨在讨论Windows操作系统在IA-32e模式下从Ring3进入Ring0的部分具体实现过程，也会对比IA-32模式下的部分差异。本文IA-32e测试系统为Windows 10 2004。 二、系统调用 ...
Intel 64和IA-32架构——操作模式
u014763664的专栏
04-19 1366
Intel的实模式和保护模式，必须要知道的... 一、Intel手册如是说 Intel的IA-32架构支持三种基本操作模式：保护模式、实地址模式和系统管理模式。操作模式决定了哪些指令和架构相关的特性是可用的： 保护模式（protected mode）——是处理器的根本模式，在保护模式下，可以为直接运行的实地址模式程序提供保护的、多任务的环境，这种特性被称作“虚拟8086模式（
Intel 64和IA-32架构指令集参考手册
Intel 64（也称为x64）和IA-32（也称为x86）是Intel处理器的两种主要架构，它们广泛应用于个人计算机、服务器和嵌入式系统中。Intel 64架构扩展了IA-32，引入了64位计算能力，允许更大的内存寻址和更高效的处理。 *...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值