调用门学习

构造调用门

根据上图我们可以看到调用门段描述符的结构，没有base和limit，变成了偏移地址和代码段的段选择子，根据代码段的段选择子可以查GDT表得到代码段的base，加上偏移就得到了需要被调用的地址。此时type的值为c表示32位的调用门，
param Count为参数个数，
P位是存在位，为1时有效。
DPL表示调用门的特权级，用于指定通过调用门访问特定过程所要求的特权级

接下来编写测试代码，

void test()
{

	printf("this is test's space\n");

}

int main(int argc, char* argv[])
{
	char buffer[]={0,0,0,0,0x4B,0};
    *(int *)buffer=(int)test;
	printf("%x\n",test);
	_asm{

		call fword ptr[buffer];
	}
	printf("success");
	return 0;
}

得到test函数地址为0x00401005，然后用windbg在空白地址构造响应的调用门

测试调用成功。

提权测试

测试代码

int result=0;
__declspec (naked)void test1()
{
	_asm
	{
		pushad
		pushfd
		mov eax, dword ptr ds:[0x8003f008]
		mov result,eax
		popfd
		popad
		retf
	}
}

int main(int argc, char* argv[])
{
	char buffer[]={0,0,0,0,0x4B,0};
    *(int *)buffer=(int)test1;
	printf("%x\n",test);
	_asm{

		call fword ptr[buffer];
	}
	printf(“%x”,result);
	printf("success");
	getchar();
	return 0;
}

对GDT表保持以上修改，则无法取出地址0x8003f008的值，报0xc0000005异常，说明我们权限不够，
用windbg将目标代码段描述符的DPL改为0，进行如下操作

再次调试代码

成功读取该地址的值。证明提权成功。

如果在代码中改用jmp 调用，则报0xc0000005异常，原因如下：

jmp在非一致代码段的权限检查规则为DPL=CPL,说明jmp只能在同权限下进行，无法进行提权操作。

含参调用门

上面提到在调用门段描述符中param Count存放参数个数，下面尝试构造含参调用门，

测试代码

int result=0;
__declspec (naked)void test2()
{
	_asm
	{
		int 3;
		retf 0x4;
		pushad
		pushfd
		mov eax, dword ptr ss:[esp+0x8+9*4];
		mov result,eax
		popfd
		popad
		retf 0x4
	}
}
int main(int argc, char* argv[])
{
	char buffer[]={0,0,0,0,0x48,0};
    *(int *)buffer=(int)test2;
	printf("%x\n",test2);
	_asm{
        push 0x12345678;
		call fword ptr[buffer];
	}
	printf("%x",result);
	printf("success");
	getchar();
	return 0;
}

观察堆栈
如果多个参数，则堆栈排布为

去掉 int 3;
retf 0x4;
后查看测试效果

成功调用。

结尾

萌新学习记录，如有错误，恳请指正。