保护模式5-代码跨转实验

怼烎@ 2022-05-12 05:14 186阅读 0赞

**通过JMP FAR指令修改CS段寄存器**

代码跨段跳转的五个步骤：

1.  段描述符拆分
2.  查表得到段描述符
3.  权限检查
4.  加载段描述符
5.  代码执行

找一个非一致代码段描述符，复制一份，写入GDT表
    
    0: kd> DQ GDTR
    8003f000  00000000`00000000 00cf9b00`0000ffff
    8003f010  00cf9300`0000ffff 00cffb00`0000ffff
    8003f020  00cff300`0000ffff 80008b04`200020ab
    8003f030  ffc093df`f0000001 0040f300`00000fff
    8003f040  0000f200`0400ffff 00000000`00000000
    8003f050  80008955`87000068 80008955`87680068
    8003f060  00009302`2f40ffff 0000920b`80003fff
    8003f070  ff0092ff`700003ff 80009a40`0000ffff
    
    将00cffb00`0000ffff 写入某个P位为0的位置
    eq 8003f048 00cffb00`0000ffff
    
    ...
    8003f040  0000f200`0400ffff 00cffb00`0000ffff
    再次打印GDT表的时候发现0x8003f048的位置已经写入了一个非一致代码段描述符
    
    0: kd> g
    	Debuggee is running...  //继续运行系统

切换到虚拟机里并且打开OD随便加载一个EXE
    非一致代码段
    JMP FAR 004B:0049F73A
    F7执行后成功跳转到0x0049F73A  CS段寄存器从1B变为4B
    段选择子为4B，段选择子选择的段描述符为刚刚在GDT表+0x4B偏移处写入的段描述符为00cffb00`0000ffff（我写入的）
    
    
    如果把段描述符的权限改为0
    0: kd> eq 8003f048 00cf9b00`0000ffff
    0: kd> g
    	Debuggee is running...  //继续运行系
    
    JMP FAR 004B:0049F746
    F7执行后跳转到0x7C92E460，转入了ntdll的异常处理模块
    如果要在三环访问0环的段描述符，则跳转失败

如果是一致代码段
    0: kd> eq 8003f048 00cf9f00`0000ffff  //DPL=0  一致代码段
    0: kd> g
        Debuggee is running...  //继续运行系
    
    JMP FAR 004B:0049F73A     
    F7执行后成功跳转到0x0049F73A  CS段寄存器从1B变为4B
    低权限成功访问了一个高权限的代码段！

*  为了对数据进行保护，普通代码段是禁止不同级别进行访问的。用户态的代码不能访问内核的数据，同样，内核态的代码也不能访问用户态的数据
 *  如果想提供一些通用的功能，而且这些 功能并不会破坏内核数据，那么可以选择一致代码段，这样低级别的程序可以在不提升CPL权限等级的情况下即可访问
 *  如果想访问普通代码段，只有用过“**>调用门<**”等提升CPL权限，才能访问

小记：其实在80386以后，所有的段寄存器其实就是披了一层皮而已  
call和jmp为一类，retf和iret为一类  
通过call和jmp跳转的时候，段权限检查也许会成功，但是代码权限和请求特权级别会不一样，请求80返回83，而retf和iret返回的时候通过栈来读取，也许可以下点手脚