概述

前面讲述了TSS有两个功能，提权的时候切换栈，需要用到TSS，另外执行 call/jmp 访问TSS段的时候，可以切换一堆寄存器。本节主要进行一个实验，来模拟第二个功能。

实验思路

编写测试入口函数
构造TSS
设计TSS段描述符并安装

编写测试入口函数

CPU利用 TSS 切换一堆寄存器后，转而就去执行 eip 所指向的指令，为了能够让CPU执行自己的代码，我们需要编写一个测试函数，把这个函数的地址填写到 TSS 的 eip 域中去。

测试函数代码


DWORD g_esp;
DWORD g_cs;
__declspec(naked) func() {//0040FAD0__asm {mov g_esp, espmov eax, 0mov ax, csmov g_cs, eaxiret // 这个地方需要注意，如果使用 call ，这里就填写 iret。}
}

该函数主要把 esp 和 cs 的值保存到了两个全局变量中。

构造TSS

说的简单点，就是给上节讲述的 TSS 结构体填充值。下面是本实验中填充的值，st 和 tss 都是全局变量。

char st[10] = {0}; // st 的地址是 0042b034
TSS tss = {// tss的地址是 0x00427b400x00000000,//link(DWORD)st,//esp00x00000010,//ss00x00000000,//esp10x00000000,//ss10x00000000,//esp20x00000000,//ss20x00000000,//cr30x0040fad0,//eip0x00000000,//eflags0x00000000,//eax0x00000000,//ecx0x00000000,//edx0x00000000,//ebx(DWORD)st,//esp0x00000000,//ebp0x00000000,//esi0x00000000,//edi0x00000023,//es  0x00000008,//cs  0x00000010,//ss0x00000023,//ds0x00000030,//fs0x00000000,//gs0x00000000,//ldt0x20ac0000
};

设计 TSS 段描述符并安装

在本实验中，tss 的地址是 0x00427b40，你可以通过在 VC6.0 中下断点来观察这个值，你的环境看到的地址与我的很可能是不同的，所以你需要根据你的情况调整描述符。
根据TSS段描述符规则，TSS段描述符设计如下：

0000e942`7b400068

在 WinDbg 中使用 eq 把它安装在 8003f048 这个位置。

eq 8003f048 0000e942`7b400068

图1 安装后的TSS段描述符

测试代码

现在，可以通过 call 指令执行一堆寄存器切换了。

测试代码

int main(int argc, char* argv[])
{printf("please input cr3:\n");scanf("%x", &(tss.cr3)); // 在 WinDbg 中使用 !process 0 0来 查看char buffer[6] = {0, 0, 0, 0, 0x48, 0};__asm {call fword ptr [buffer]}// 不出意外，这里打印的值分别是 00000008, 0042b034printf("g_cs = %08x\ng_esp = %08x\n", g_cs, g_esp);return 0;
}

执行结果

图2 执行结果

运行的时候需要注意，CR3 需要在 WinDbg 中查看。在 WinDbg 中使用命令 !process 0 0来查看程序SwitchTSS.exe 的 DirBase，然后在控制台里输入后回车继续执行。

完整代码

// 文件：tss.h
#pragma oncetypedef struct TSS {DWORD link; // 保存前一个 TSS 段选择子，使用 call 指令切换寄存器的时候由CPU填写。// 这 6 个值是固定不变的，用于提权，CPU 切换栈的时候用DWORD esp0; // 保存 0 环栈指针DWORD ss0;  // 保存 0 环栈段选择子DWORD esp1; // 保存 1 环栈指针DWORD ss1;  // 保存 1 环栈段选择子DWORD esp2; // 保存 2 环栈指针DWORD ss2;  // 保存 2 环栈段选择子// 下面这些都是用来做切换寄存器值用的，切换寄存器的时候由CPU自动填写。DWORD cr3; DWORD eip;  DWORD eflags;DWORD eax;DWORD ecx;DWORD edx;DWORD ebx;DWORD esp;DWORD ebp;DWORD esi;DWORD edi;DWORD es;DWORD cs;DWORD ss;DWORD ds;DWORD fs;DWORD gs;DWORD ldt;// 这个暂时忽略DWORD io_map;
} TSS;

// 文件：SwitchTSS.cpp
#include <windows.h>
#include <stdio.h>
#include "tss.h"char st[10] = {0}; // 0042b034DWORD g_esp;
DWORD g_cs;TSS tss = {// 0x00427b400x00000000,//link(DWORD)st,//esp00x00000010,//ss00x00000000,//esp10x00000000,//ss10x00000000,//esp20x00000000,//ss20x00000000,//cr30x0040fad0,//eip0x00000000,//eflags0x00000000,//eax0x00000000,//ecx0x00000000,//edx0x00000000,//ebx(DWORD)st,//esp0x00000000,//ebp0x00000000,//esi0x00000000,//edi0x00000023,//es  0x00000008,//cs  0x00000010,//ss0x00000023,//ds0x00000030,//fs0x00000000,//gs0x00000000,//ldt0x20ac0000
};__declspec(naked) func() {//0040FAD0__asm {mov g_esp, espmov eax, 0mov ax, csmov g_cs, eaxiret}
}
int main(int argc, char* argv[])
{printf("please input cr3:\n");scanf("%x", &(tss.cr3));char buffer[6] = {0, 0, 0, 0, 0x48, 0};__asm {call fword ptr [buffer]}// 不出意外，这里打印的值分别是 00000008, 0042b034printf("g_cs = %08x\ng_esp = %08x\n", g_cs, g_esp);return 0;
}

总结

本节主要演示了 call 执行执行任务切换（记住，是切换一堆寄存器）。本实验并没有使用 jmp，如果使用 jmp 的话，唯一的区别就是在测试函数那里返回不要使用 iret 指令，否则一定会蓝屏的。

读者可自己尝试着把 call 改成 jmp 来完成这个实验。另外，在分别使用 call 和 jmp 的时候，有两个地方需要观察一下：1. EFLAGS寄存器 2. TSS 的 link 域。

14-TSS切换实验相关推荐

[论文阅读] (14)英文论文实验评估（Evaluation）如何撰写及精句摘抄（上）——以入侵检测系统(IDS)为例
<娜璋带你读论文>系列主要是督促自己阅读优秀论文及听取学术讲座,并分享给大家,希望您喜欢.由于作者的英文水平和学术能力不高,需要不断提升,所以还请大家批评指正,非常欢迎大家给我留言评论,学 ...
第14周预习实验与作业：Java数据库编程
回想"流与文件"章节,如何将一组对象存储到文件中?主要步骤是什么. 1.首先要将对象序列化,需要对象实现序列化接口,然后通过java的ObjectOutputStream的writ ...
任务14：切换英雄选择界面
服务器下发的消息定义英雄选择变量: 显示英雄选择界面广播英雄选择消息 UNITY中指定变量
操作系统实验五基于内核栈切换的进程切换(哈工大李治军)
实验5 基于内核栈切换的进程切换实验目的深入理解进程和进程切换的概念: 综合应用进程.CPU 管理.PCB.LDT.内核栈.内核态等知识解决实际问题: 开始建立系统认识. 实验内容现在的 Lin ...
操作系统实验4：基于内核栈完成进程切换
一.参考 <操作系统原理.实现与实践>李治军.刘宏伟编著二.实验目标 Linux0.11中进程切换是依靠任务状态段(task struct segment,TSS)的切换来实现的,本实践 ...
哈工大操作系统实验4－－－基于内核栈切换的进程切换
前置知识关于栈桢关于栈栈帧详解https://blog.csdn.net/ylyuanlu/article/details/18947951 进程切换流程首先先了解一下进程切换的流程.开始的时候 ...
34.14. 切换字符集
34.14.1. 切换到 GBK SQL> shutdown immediate; SQL> startup mount; SQL> alter system enable rest ...
《汇编语言》王爽(第四版) 第十四章检测点及实验14
文章目录目录前言一.检测点 1.检测点14.1 (1)检测点14.1.(1) (2)检测点14.1.(2) 2.检测点14.2 (1)实验任务 (2)实现代码二.实验14 访问CMOS RAM ...
在Linux-0.11中实现基于内核栈切换的进程切换
原有的基于TSS的任务切换的不足进程切换的六段论 1 中断进入内核 2 找到当前进程的PCB和新进程的PCB 3 完成PCB的切换 4 根据PCB完成内核栈的切换 5 切换运行资源LDT 6 利用I ...

14-TSS切换实验

概述