高特权级代码段转向低特权级代码段(利用 ret(retf) 指令实现 jmp from ring0 to ring3)
来源:互联网 发布:安邦 华视网络 编辑:程序博客网 时间:2024/05/20 22:38
【0】写在前面
- 0.1)本代码旨在演示 从 ring0 转移到 ring3(即,从高特权级 转移到 低特权级)
- 0.2)本文 只对 与 门相关的 代码进行简要注释,言简意赅;
- 0.3)文末的个人总结是干货,前面代码仅供参考的,且source code from orange’s implemention of a os.
; ==========================================; pmtest5a.asm; 编译方法:nasm pmtest5a.asm -o pmtest5a.com; ==========================================%include "pm.inc" ; 常量, 宏, 以及一些说明org 0100h jmp LABEL_BEGIN
;[SECTION .gdt]
; GDT; 段基址, 段界限 , 属性LABEL_GDT: Descriptor 0, 0, 0 ; 空描述符LABEL_DESC_NORMAL: Descriptor 0, 0ffffh, DA_DRW ; Normal 描述符LABEL_DESC_CODE32: Descriptor 0, SegCode32Len-1, DA_C+DA_32; 非一致代码段,32LABEL_DESC_CODE16: Descriptor 0, 0ffffh, DA_C ; 非一致代码段,16LABEL_DESC_CODE_DEST: Descriptor 0, SegCodeDestLen-1, DA_C+DA_32; 非一致代码段,32
; ring3的代码段描述符的定义 [add]
LABEL_DESC_CODE_RING3: Descriptor 0,SegCodeRing3Len-1, DA_C+DA_32+DA_DPL3LABEL_DESC_DATA: Descriptor 0, DataLen-1, DA_DRW ; DataLABEL_DESC_STACK: Descriptor 0, TopOfStack, DA_DRWA+DA_32;Stack, 32 位
; ring3的堆栈段描述符的定义 [add]
LABEL_DESC_STACK3: Descriptor 0, TopOfStack3, DA_DRWA+DA_32+DA_DPL3LABEL_DESC_LDT: Descriptor 0, LDTLen-1, DA_LDT ; LDT
; ring3的视频段描述符的DPL属性设置为 3 [add]
LABEL_DESC_VIDEO: Descriptor 0B8000h, 0ffffh, DA_DRW+DA_DPL3; 门 目标选择子,偏移,DCount, 属性LABEL_CALL_GATE_TEST: Gate SelectorCodeDest, 0, 0, DA_386CGate+DA_DPL0; GDT 结束GdtLen equ $ - LABEL_GDT ; GDT长度GdtPtr dw GdtLen - 1 ; GDT界限 dd 0 ; GDT基地址; GDT 选择子SelectorNormal equ LABEL_DESC_NORMAL - LABEL_GDTSelectorCode32 equ LABEL_DESC_CODE32 - LABEL_GDTSelectorCode16 equ LABEL_DESC_CODE16 - LABEL_GDTSelectorCodeDest equ LABEL_DESC_CODE_DEST - LABEL_GDT
; ring3的代码段描述符的选择子定义 [add]
SelectorCodeRing3 equ LABEL_DESC_CODE_RING3 - LABEL_GDT + SA_RPL3SelectorData equ LABEL_DESC_DATA - LABEL_GDTSelectorStack equ LABEL_DESC_STACK - LABEL_GDT
; ring3的堆栈段描述符的选择子定义 [add]
SelectorStack3 equ LABEL_DESC_STACK3 - LABEL_GDT + SA_RPL3SelectorLDT equ LABEL_DESC_LDT - LABEL_GDT
;ring3的视频段描述符(DPL==3)的选择子定义 [add]
SelectorVideo equ LABEL_DESC_VIDEO - LABEL_GDTSelectorCallGateTest equ LABEL_CALL_GATE_TEST - LABEL_GDT; END of [SECTION .gdt]
[SECTION .data1] ; 数据段
ALIGN 32[BITS 32]LABEL_DATA:SPValueInRealMode dw 0; 字符串PMMessage: db "In Protect Mode now. ^-^", 0 ; 进入保护模式后显示此字符串OffsetPMMessage equ PMMessage - $$StrTest: db"ABCDEFGHIJKLMNOPQRSTUVWXYZ", 0OffsetStrTest equStrTest - $$DataLen equ $ - LABEL_DATA; END of [SECTION .data1]
; 全局堆栈段
[SECTION .gs]
ALIGN 32[BITS 32]LABEL_STACK: times 512 db 0TopOfStack equ $ - LABEL_STACK - 1; END of [SECTION .gs]
; 堆栈段ring3的定义
[SECTION .s3]
ALIGN 32[BITS 32]LABEL_STACK3: times 512 db 0TopOfStack3 equ $ - LABEL_STACK3 - 1; END of [SECTION .s3]
[SECTION .s16]
[BITS 16]LABEL_BEGIN: mov ax, cs mov ds, ax mov es, ax mov ss, ax mov sp, 0100h mov [LABEL_GO_BACK_TO_REAL+3], ax mov [SPValueInRealMode], sp ; 初始化 16 位代码段描述符 mov ax, cs movzx eax, ax shl eax, 4 add eax, LABEL_SEG_CODE16 mov word [LABEL_DESC_CODE16 + 2], ax shr eax, 16 mov byte [LABEL_DESC_CODE16 + 4], al mov byte [LABEL_DESC_CODE16 + 7], ah ; 初始化 32 位代码段描述符 xor eax, eax mov ax, cs shl eax, 4 add eax, LABEL_SEG_CODE32 mov word [LABEL_DESC_CODE32 + 2], ax shr eax, 16 mov byte [LABEL_DESC_CODE32 + 4], al mov byte [LABEL_DESC_CODE32 + 7], ah ; 初始化测试调用门的代码段描述符 xor eax, eax mov ax, cs shl eax, 4 add eax, LABEL_SEG_CODE_DEST mov word [LABEL_DESC_CODE_DEST + 2], ax shr eax, 16 mov byte [LABEL_DESC_CODE_DEST + 4], al mov byte [LABEL_DESC_CODE_DEST + 7], ah ; 初始化数据段描述符 xor eax, eax mov ax, ds shl eax, 4 add eax, LABEL_DATA mov word [LABEL_DESC_DATA + 2], ax shr eax, 16 mov byte [LABEL_DESC_DATA + 4], al mov byte [LABEL_DESC_DATA + 7], ah ; 初始化堆栈段描述符 xor eax, eax mov ax, ds shl eax, 4 add eax, LABEL_STACK mov word [LABEL_DESC_STACK + 2], ax shr eax, 16 mov byte [LABEL_DESC_STACK + 4], al mov byte [LABEL_DESC_STACK + 7], ah
; 初始化堆栈段描述符(Ring3) [add]
xor eax, eax mov ax, ds shl eax, 4 add eax, LABEL_STACK3 mov word [LABEL_DESC_STACK3 + 2], ax shr eax, 16 mov byte [LABEL_DESC_STACK3 + 4], al mov byte [LABEL_DESC_STACK3 + 7], ah ; 初始化 LDT 在 GDT 中的描述符 xor eax, eax mov ax, ds shl eax, 4 add eax, LABEL_LDT mov word [LABEL_DESC_LDT + 2], ax shr eax, 16 mov byte [LABEL_DESC_LDT + 4], al mov byte [LABEL_DESC_LDT + 7], ah ; 初始化 LDT 中的描述符 xor eax, eax mov ax, ds shl eax, 4 add eax, LABEL_CODE_A mov word [LABEL_LDT_DESC_CODEA + 2], ax shr eax, 16 mov byte [LABEL_LDT_DESC_CODEA + 4], al mov byte [LABEL_LDT_DESC_CODEA + 7], ah
; 初始化Ring3描述符 [add]
xor eax, eax mov ax, ds shl eax, 4 add eax, LABEL_CODE_RING3 mov word [LABEL_DESC_CODE_RING3 + 2], ax shr eax, 16 mov byte [LABEL_DESC_CODE_RING3 + 4], al mov byte [LABEL_DESC_CODE_RING3 + 7], ah ; 为加载 GDTR 作准备 xor eax, eax mov ax, ds shl eax, 4 add eax, LABEL_GDT ; eax <- gdt 基地址 mov dword [GdtPtr + 2], eax ; [GdtPtr + 2] <- gdt 基地址 ; 加载 GDTR lgdt [GdtPtr] ; 关中断 cli ; 打开地址线A20 in al, 92h or al, 00000010b out 92h, al ; 准备切换到保护模式 mov eax, cr0 or eax, 1 mov cr0, eax ; 真正进入保护模式 jmp dword SelectorCode32:0 ; 执行这一句会把 SelectorCode32 装入 cs, 并跳转到 Code32Selector:0 处;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;LABEL_REAL_ENTRY: ; 从保护模式跳回到实模式就到了这里 mov ax, cs mov ds, ax mov es, ax mov ss, ax mov sp, [SPValueInRealMode] in al, 92h ; ┓ and al, 11111101b ; ┣ 关闭 A20 地址线 out 92h, al ; ┛ sti ; 开中断 mov ax, 4c00h ; ┓ int 21h ; ┛回到 DOS; END of [SECTION .s16]
[SECTION .s32]; 32 位代码段. 由实模式跳入.
[BITS 32]LABEL_SEG_CODE32: mov ax, SelectorData mov ds, ax ; 数据段选择子 mov ax, SelectorVideo mov gs, ax ; 视频段选择子 mov ax, SelectorStack mov ss, ax ; 堆栈段选择子 mov esp, TopOfStack ; 下面显示一个字符串 mov ah, 0Ch ; 0000: 黑底 1100: 红字 xor esi, esi xor edi, edi mov esi, OffsetPMMessage ; 源数据偏移 mov edi, (80 * 10 + 0) * 2 ; 目的数据偏移。屏幕第 10 行, 第 0 列。 cld.1: lodsb test al, al jz .2 mov [gs:edi], ax add edi, 2 jmp .1.2: ; 显示完毕 call DispReturn
; ; 以下代码分步骤演示了如何将A的堆栈拷贝到B的堆栈(A==调用者,B=被调用者)
; 1.将ring3的堆栈段描述符的选择子压栈 [add]
push SelectorStack3
; 2.将ring3的堆栈压栈 [add]
push TopOfStack3
; 3.将ring3的堆栈值 压栈 [add]
push SelectorCodeRing3 push 0
; 4.retf 弹出ip + 弹出cs;此时ip==0, cs==SelectorCodeRing3,然后CPU自动解析出SelectorCodeRing3 索引(定位)的段描述符, 该描述符存储有
; 4.ring3下代码段LABEL_CODE_RING3 的基地址, 让我们转向 代码末尾的 LABEL_CODE_RING3 代码段吧;
retf ; 测试调用门(无特权级变换),将打印字母 'C' call SelectorCallGateTest:0 ;call SelectorCodeDest:0 ; Load LDT mov ax, SelectorLDT lldt ax jmp SelectorLDTCodeA:0 ; 跳入局部任务,将打印字母 'L'。; ------------------------------------------------------------------------DispReturn: push eax push ebx mov eax, edi mov bl, 160 div bl and eax, 0FFh inc eax mov bl, 160 mul bl mov edi, eax pop ebx pop eax ret; DispReturn 结束---------------------------------------------------------SegCode32Len equ $ - LABEL_SEG_CODE32; END of [SECTION .s32]
[SECTION .sdest]; 调用门目标段
[BITS 32]LABEL_SEG_CODE_DEST: mov ax, SelectorVideo mov gs, ax ; 视频段选择子(目的) mov edi, (80 * 12 + 0) * 2 ; 屏幕第 12 行, 第 0 列。 mov ah, 0Ch ; 0000: 黑底 1100: 红字 mov al, 'C' mov [gs:edi], ax retfSegCodeDestLen equ $ - LABEL_SEG_CODE_DEST; END of [SECTION .sdest]
; 16 位代码段. 由 32 位代码段跳入, 跳出后到实模式
[SECTION .s16code]
ALIGN 32[BITS 16]LABEL_SEG_CODE16: ; 跳回实模式: mov ax, SelectorNormal mov ds, ax mov es, ax mov fs, ax mov gs, ax mov ss, ax mov eax, cr0 and al, 11111110b mov cr0, eaxLABEL_GO_BACK_TO_REAL: jmp 0:LABEL_REAL_ENTRY ; 段地址会在程序开始处被设置成正确的值Code16Len equ $ - LABEL_SEG_CODE16; END of [SECTION .s16code]
; LDT
[SECTION .ldt]
ALIGN 32LABEL_LDT:; 段基址 段界限 , 属性LABEL_LDT_DESC_CODEA: Descriptor 0, CodeALen - 1, DA_C + DA_32 ; Code, 32 位LDTLen equ $ - LABEL_LDT; LDT 选择子SelectorLDTCodeA equ LABEL_LDT_DESC_CODEA - LABEL_LDT + SA_TIL; END of [SECTION .ldt]
; CodeA (LDT, 32 位代码段)
[SECTION .la]
ALIGN 32[BITS 32]LABEL_CODE_A: mov ax, SelectorVideo mov gs, ax ; 视频段选择子(目的) mov edi, (80 * 13 + 0) * 2 ; 屏幕第 13 行, 第 0 列。 mov ah, 0Ch ; 0000: 黑底 1100: 红字 mov al, 'L' mov [gs:edi], ax ; 准备经由16位代码段跳回实模式 jmp SelectorCode16:0CodeALen equ $ - LABEL_CODE_A; END of [SECTION .la]
; CodeRing3的定义(ring3下的代码段)
; 显然, ring3 中的任务执行完后, jmp $ 这句代码使得程序 就会 永久停留在该处;
[SECTION .ring3]ALIGN 32[BITS 32]LABEL_CODE_RING3: mov ax, SelectorVideo mov gs, ax mov edi, (80 * 14 + 0) * 2 mov ah, 0Ch mov al, '3' mov [gs:edi], ax jmp $SegCodeRing3Len equ $ - LABEL_CODE_RING3; END of [SECTION .ring3]
【总结-Conclusion】
C1)实现ring0 jmp 到ring3, 使用的是ret 指令,代码如下:(核心代码)
; 以下代码分步骤演示了如何将A的堆栈拷贝到B的堆栈(A==调用者,B=被调用者)
; 1.将ring3的堆栈段描述符的选择子压栈 [add](堆栈段描述符 存储有新堆栈的基地址ss)push SelectorStack3
; 2.将ring3的堆栈压栈[add](新栈顶指针esp压栈)
push TopOfStack3
; 3.将ring3的堆栈值 压栈 [add] (将ring3 下的任务代码段基地址cs 压栈)
push SelectorCodeRing3; (偏移量ip == 0 压栈) push 0
; 4.retf 弹出ip + 弹出cs;此时ip==0, cs==SelectorCodeRing3,然后CPU自动解析出SelectorCodeRing3 索引(定位)的段描述符, 该描述符存储有
; 4.ring3下代码段LABEL_CODE_RING3 的基地址;
retf
要知道: retf == [ pop cs, pop ip ] , ret == pop ip
- C2)指令ret 用于执行近返回、同特权级远返回和不同特权级的远返回;
- C2.1)近返回仅在当前代码段中转移程序控制权, 因此CPU 仅仅进行界限检查;
- C2.2)对于同特权级远返回, CPU同时从堆栈中弹出返回代码段的选择子和返回指令指针;
C2.3)会发生特权级改变的远返回仅允许返回到低特权级程序中, 即返回到的代码段DPL要大于CPL;
当执行远返回时, CPU执行以下步骤(也即是上述过程的第4步——指令retf):
- 1)检查保存的cs 中的RPL 以判断返回时是否要变换特权级;
- 2)加载被调用者堆栈上的cs 和eip;
- 3)如果ret 指令含有参数,则增加esp 跳过参数,然后esp 将指向被保存过的调用者ss 和 esp ;ret的参数个数对应 调用门中的 Param Count的值;
- 4)加载ss 和 esp , 切换到调用者堆栈,被调用者的ss 和 esp 被丢弃;
- 5)如果ret 指令含有参数, 增加esp 的值以跳过参数;
- 6)检查ds、es、fs、gs的值,如果其中哪一个寄存器指向的段的DPL 小于CPL(此规则不适用于一致代码段),那么一个空描述符会被加载到该寄存器;
- 高特权级代码段转向低特权级代码段(利用 ret(retf) 指令实现 jmp from ring0 to ring3)
- 不同特权级间代码段的跳转{ 门 + 跳转(jmp + call) + 返回(ret) }
- 特权级--ring0到ring3
- 特权级--ring3到ring0
- 特权级--ring0到ring3
- 特权级--ring3到ring0
- 特权级--ring0到ring3
- Vol3.5.8.1 直接CALL或JMP到目的代码段时的特权级检查[5.8.1 Direct Calls or Jumps to Code Segments]
- 不同特权级代码段之间的跳转
- 不同特权级代码段之间的跳转
- 代码段之间转移控制时的特权级检查
- 特权级代码段之间的转移---任务切换
- 代码段间转移控制时的特权级检查(JMP/CALL)——《x86汇编语言:从实模式到保护模式》读书笔记28
- 特权级代码段之间的转移---任务内无特权级变换的转移
- 特权级代码段之间的转移---任务内特权级变换转移
- 特权级——保护模式的特权级检查 DPL,RPL,CPL, 一致代码段,非一致代码段
- 一致代码段,非一致代码段,特权级,代码间跳转[总结]
- 一致代码段,非一致代码段,特权级,代码间跳转
- C++计算输入数据对应二进制中1的个数。
- 玩转EasyUI之ValidateBox
- Storyboard 全解析 (二)
- 基数排序/计数排序
- ulua源码分析
- 高特权级代码段转向低特权级代码段(利用 ret(retf) 指令实现 jmp from ring0 to ring3)
- 简易前端分页组件
- Log4j详解与实战
- 函数调用--函数栈
- tesseract使用的一些方法-ocr
- 右键菜单功能动态生成子项
- Invalid project description
- 内网编译thrift 0.8
- phpQuery—基于jQuery的PHP实现