10.Windows线程切换_FS段寄存器

FS:[0]寄存器在3环时指向TEB.进入0环后FS:[0]指向KPCR

系统中同时存在很多个线程,这就意味着FS:[0]在3环时指向的TEB要有多个(每个线程一份)。

但在实际的使用中我们发现,当我们在3环查看不同线程的FS寄存器时, FS的段选择子都是相同的,那是如何实现通过一个FS寄存器指向多个TEB呢?

下面是ida的分析SwapContext代码

                        ; CODE XREF: SwapContext+85j
                        ; SwapContext+AEj
mov eax,[ebx+KPCR.NtTib.Self] ; 取出目标线程的TEB
mov ecx,[ebx+KPCR.GDT]  ; 获取GDT
mov     [ecx+3Ah], ax   ; 修改GDT表中的段描述符基址 AX存储地址的低2字节 存储到段描述符低4字节的第16:31位
shr     eax, 10h        ; 右移16位得到地址的高2字节
mov     [ecx+3Ch], al   ; 修改高4字节的0:7位
mov     [ecx+3Fh], ah   ; 修改高4字节的31:24位
inc [esi+ETHREAD.Tcb.ContextSwirches] ; 目标线程的ContextSwitches+1这个值应该是用了统计切换次数
inc [ebx+KPCR.PrcbData.KeContextSwitches] ; 当前CPU的K额ContextSwitches统计信息
pop     ecx
mov     [ebx], ecx
cmp [esi+ETHREAD.Tcb.ApcState.KernlApcPending],0
jnz     short loc_404A00
popf
xor     eax, eax
retn