9.任务段（TSS）

在调用门、中断门与陷阱门中,一旦出现权限切换,那么就会有堆栈的 ,切换。而且,由于CS的CPL发生改变,也导致了SS也必须要切换。

切换时,会有新的ESP和SS(CS是由中断门或者调用门指定)这2个值从哪里来的呢?

答案: TSS (Task-state segment ),任务状态段

TSS就是一块内存，大小104个节。

不要把TSS与任务切换联系到一起
TSS的意义就在于可以同时换掉一堆寄存器

TSS是段描述符，从GDT表中的加载出来的
系统启动-》从GDT表中的加载出的TSS-》放到TR寄存器里，系统要用直接找TR寄存器

TSS是系统段，s位为0，TYPE域为：1001或者1011
这两特征说明他是一个TSS段描述符，type为1001说明这个tss没有加载到TR寄存器中，1011说明已经加载到TR寄存器中
tss的颗粒位为0（G位）

TR寄存器读写：
1)将TSS段描述符加载到TR寄存器
指令: LTR
说明:
用LTR指令去装载的话仅仅是改变TR寄存器的值(96位)并没有真正改变TSS
LTR指令只能在系统层使用
加载后TSS段描述符会状态位会发生改变（1001变1011）

2)读TR寄存器
指令: STR
说明:如果用STR去读的话,只读了TR的16位也就是选择子（可见部分）

修改TR寄存器
1)在Ringo我们可以通过LTR临令去修改TR寄存器
2)在Ring3我们可以通过CALL FAR或者JMP FAR指令来修改

用JMP去访问一个代码段的时候,改变的是CS和EIP:
JMP 0x48:0x123456如果0x48是代码段
执行后: CS->0x48 ElP.-x123456

用JMP去访问一个任务段的时候:
如果0x48是TSS段描述符,先修改TR寄存器,在用TR.Base指向的TSS中的值修改当前的器存器

TSS存在的意义
提权时栈切换用到了 TSS
切换一堆寄存器

测试

修改gdt。
xx00e9xx`xxxx0068
xx为base，填TSS的

#include<windows.h>
#include<stdio.h>

typedef struct TSS {
	DWORD link; // 保存前一个 TSS 段选择子，使用 call 指令切换寄存器的时候由CPU填写。
				// 这 6 个值是固定不变的，用于提权，CPU 切换栈的时候用
	DWORD esp0; // 保存 0 环栈指针
	DWORD ss0;  // 保存 0 环栈段选择子
	DWORD esp1; // 保存 1 环栈指针
	DWORD ss1;  // 保存 1 环栈段选择子
	DWORD esp2; // 保存 2 环栈指针
	DWORD ss2;  // 保存 2 环栈段选择子
				// 下面这些都是用来做切换寄存器值用的，切换寄存器的时候由CPU自动填写。
	DWORD cr3;
	DWORD eip;
	DWORD eflags;
	DWORD eax;
	DWORD ecx;
	DWORD edx;
	DWORD ebx;
	DWORD esp;
	DWORD ebp;
	DWORD esi;
	DWORD edi;
	DWORD es;
	DWORD cs;
	DWORD ss;
	DWORD ds;
	DWORD fs;
	DWORD gs;
	DWORD ldt;
	// 这个暂时忽略
	DWORD io_map;
} TSS;

char st[10] = { 0 }; // 0042b034
DWORD g_esp = 0;
DWORD g_cs = 0;

TSS tss = {		// 0x00427b40
	0x00000000,//link
	(DWORD)st, //esp0
	0x00000010,//ss0
	0x00000000,//esp1
	0x00000000,//ss1
	0x00000000,//esp2
	0x00000000,//ss2
	0x00000000,//cr3
	0x0045a0c0,//eip-----填裸函数地址
	0x00000000,//eflags
	0x00000000,//eax
	0x00000000,//ecx
	0x00000000,//edx
	0x00000000,//ebx
	(DWORD)st, //esp
	0x00000000,//ebp
	0x00000000,//esi
	0x00000000,//edi
	0x00000023,//es  
	0x00000008,//cs  
	0x00000010,//ss
	0x00000023,//ds
	0x00000030,//fs
	0x00000000,//gs
	0x00000000,//ldt
	0x20ac0000
};

void __declspec(naked) func() {//0045a0c0
	__asm {
		int 3

		mov g_esp, esp
		mov eax, 0
		mov ax, cs
		mov g_cs, eax

		iret//中断返回指令
	}
}
int main(int argc, char* argv[])
{
	printf("%x\n", &tss);
	printf("cr3:\n");
	scanf("%x", &(tss.cr3));

	char buffer[6] = { 0, 0, 0, 0, 0x48, 0 };
	__asm 
	{
		call fword ptr[buffer]
	}

	
	printf("g_cs = %08x\ng_esp = %08x\n", g_cs, g_esp);
	getchar();
	return 0;
}