14-TSS切换实验
来源:互联网 发布:自动化测试编程 编辑:程序博客网 时间:2024/06/05 20:18
概述
前面讲述了TSS有两个功能,提权的时候切换栈,需要用到TSS,另外执行 call/jmp 访问TSS段的时候,可以切换一堆寄存器。本节主要进行一个实验,来模拟第二个功能。
实验思路
- 编写测试入口函数
- 构造TSS
- 设计TSS段描述符并安装
编写测试入口函数
CPU利用 TSS 切换一堆寄存器后,转而就去执行 eip 所指向的指令,为了能够让CPU执行自己的代码,我们需要编写一个测试函数,把这个函数的地址填写到 TSS 的 eip 域中去。
- 测试函数代码
DWORD g_esp;DWORD g_cs;__declspec(naked) func() {//0040FAD0 __asm { mov g_esp, esp mov eax, 0 mov ax, cs mov g_cs, eax iret // 这个地方需要注意,如果使用 call ,这里就填写 iret。 }}
该函数主要把 esp 和 cs 的值保存到了两个全局变量中。
构造TSS
说的简单点,就是给上节讲述的 TSS 结构体填充值。下面是本实验中填充的值,st 和 tss 都是全局变量。
char st[10] = {0}; // st 的地址是 0042b034TSS tss = {// tss的地址是 0x00427b40 0x00000000,//link (DWORD)st,//esp0 0x00000010,//ss0 0x00000000,//esp1 0x00000000,//ss1 0x00000000,//esp2 0x00000000,//ss2 0x00000000,//cr3 0x0040fad0,//eip 0x00000000,//eflags 0x00000000,//eax 0x00000000,//ecx 0x00000000,//edx 0x00000000,//ebx (DWORD)st,//esp 0x00000000,//ebp 0x00000000,//esi 0x00000000,//edi 0x00000023,//es 0x00000008,//cs 0x00000010,//ss 0x00000023,//ds 0x00000030,//fs 0x00000000,//gs 0x00000000,//ldt 0x20ac0000};
设计 TSS 段描述符并安装
在本实验中,tss 的地址是 0x00427b40,你可以通过在 VC6.0 中下断点来观察这个值,你的环境看到的地址与我的很可能是不同的,所以你需要根据你的情况调整描述符。
根据TSS段描述符规则,TSS段描述符设计如下:
0000e942`7b400068
在 WinDbg 中使用 eq 把它安装在 8003f048 这个位置。
eq 8003f048 0000e942`7b400068
图1 安装后的TSS段描述符
测试代码
现在,可以通过 call 指令执行一堆寄存器切换了。
- 测试代码
int main(int argc, char* argv[]){ printf("please input cr3:\n"); scanf("%x", &(tss.cr3)); // 在 WinDbg 中使用 !process 0 0来 查看 char buffer[6] = {0, 0, 0, 0, 0x48, 0}; __asm { call fword ptr [buffer] } // 不出意外,这里打印的值分别是 00000008, 0042b034 printf("g_cs = %08x\ng_esp = %08x\n", g_cs, g_esp); return 0;}
- 执行结果
图2 执行结果
运行的时候需要注意,CR3 需要在 WinDbg 中查看。在 WinDbg 中使用命令!process 0 0
来查看程序SwitchTSS.exe 的 DirBase,然后在控制台里输入后回车继续执行。
完整代码
// 文件:tss.h#pragma oncetypedef struct TSS { DWORD link; // 保存前一个 TSS 段选择子,使用 call 指令切换寄存器的时候由CPU填写。 // 这 6 个值是固定不变的,用于提权,CPU 切换栈的时候用 DWORD esp0; // 保存 0 环栈指针 DWORD ss0; // 保存 0 环栈段选择子 DWORD esp1; // 保存 1 环栈指针 DWORD ss1; // 保存 1 环栈段选择子 DWORD esp2; // 保存 2 环栈指针 DWORD ss2; // 保存 2 环栈段选择子 // 下面这些都是用来做切换寄存器值用的,切换寄存器的时候由CPU自动填写。 DWORD cr3; DWORD eip; DWORD eflags; DWORD eax; DWORD ecx; DWORD edx; DWORD ebx; DWORD esp; DWORD ebp; DWORD esi; DWORD edi; DWORD es; DWORD cs; DWORD ss; DWORD ds; DWORD fs; DWORD gs; DWORD ldt; // 这个暂时忽略 DWORD io_map;} TSS;
// 文件:SwitchTSS.cpp#include <windows.h>#include <stdio.h>#include "tss.h"char st[10] = {0}; // 0042b034DWORD g_esp;DWORD g_cs;TSS tss = {// 0x00427b40 0x00000000,//link (DWORD)st,//esp0 0x00000010,//ss0 0x00000000,//esp1 0x00000000,//ss1 0x00000000,//esp2 0x00000000,//ss2 0x00000000,//cr3 0x0040fad0,//eip 0x00000000,//eflags 0x00000000,//eax 0x00000000,//ecx 0x00000000,//edx 0x00000000,//ebx (DWORD)st,//esp 0x00000000,//ebp 0x00000000,//esi 0x00000000,//edi 0x00000023,//es 0x00000008,//cs 0x00000010,//ss 0x00000023,//ds 0x00000030,//fs 0x00000000,//gs 0x00000000,//ldt 0x20ac0000};__declspec(naked) func() {//0040FAD0 __asm { mov g_esp, esp mov eax, 0 mov ax, cs mov g_cs, eax iret }}int main(int argc, char* argv[]){ printf("please input cr3:\n"); scanf("%x", &(tss.cr3)); char buffer[6] = {0, 0, 0, 0, 0x48, 0}; __asm { call fword ptr [buffer] } // 不出意外,这里打印的值分别是 00000008, 0042b034 printf("g_cs = %08x\ng_esp = %08x\n", g_cs, g_esp); return 0;}
总结
本节主要演示了 call 执行执行任务切换(记住,是切换一堆寄存器)。本实验并没有使用 jmp,如果使用 jmp 的话,唯一的区别就是在测试函数那里返回不要使用 iret 指令,否则一定会蓝屏的。
读者可自己尝试着把 call 改成 jmp 来完成这个实验。另外,在分别使用 call 和 jmp 的时候,有两个地方需要观察一下:1. EFLAGS寄存器 2. TSS 的 link 域。
0 0
- 14-TSS切换实验
- 进程切换与TSS
- TSS----任务切换的核心
- tss
- linux进程切换和TSS结构
- 使用 TSS selector 进行任务切换
- x86 的 TSS 任务切换机制
- Linux0.11进程切换和TSS结构
- x86 的 TSS 任务切换机制
- x86 的 TSS 任务切换机制
- x86体系下linux中的任务切换与TSS
- x86体系下linux中的任务切换与TSS .
- 利用 TSS 机制切换到任何权限级别
- x86体系下Linux中的任务切换与TSS
- 关于利用任务状态段TSS进行进程切换的一点说明
- linux任务切换以及TSS以及内核栈以及寄存器的保存
- linux任务切换以及TSS以及内核栈以及寄存器的保存
- 如何用TSS进行任务切换?我切换不成功:((内有汇编代码/as86)‹‹12
- head first 设计模式——(单件模式)
- Storm/JStorm之TopologyBuilder源码阅读
- Mybatis核心对象的生命周期与封装
- Linux CentOS系统Mysql的安装-
- java 的位运算符详解实例 ------与(&) 、或( |) 、非( ~) 、异或( ^)
- 14-TSS切换实验
- 《c和指针》(五)
- 指针和引用的区别
- ArrayList源码详解
- XML 解析详解
- Struts2.x 学习笔记 之 类型转换器 和 错误提示修改
- Xcode7下真机配置iOS10
- asmlinkage和likely
- [LeetCode-Java]2. Add Two Numbers