用VisualCCPU特權(quán)指令操作

1、用Visual C+實(shí)現(xiàn)CPU特權(quán)指令操作一、引言80 x86系列cpu具有四級(jí)愛(ài)護(hù)機(jī)制。在windows 9x操作系統(tǒng)只使用0級(jí)和3級(jí)，以便于移植到精簡(jiǎn)指令集的計(jì)算機(jī)上，如rs4000等，這些處理器一般只有兩個(gè)特權(quán)級(jí)，即系統(tǒng)級(jí)和用戶級(jí)。在windows 9x系統(tǒng)環(huán)境，應(yīng)用程序運(yùn)行在ring3（3級(jí)），假如要運(yùn)行特權(quán)指令就必須進(jìn)入ring0（0級(jí)）。在同一任務(wù)內(nèi)，實(shí)現(xiàn)特權(quán)級(jí)從外層到內(nèi)層變換的一般途徑是使用段間調(diào)用指令call，通過(guò)調(diào)用門進(jìn)行轉(zhuǎn)移；實(shí)現(xiàn)特權(quán)級(jí)從內(nèi)層向外層變換的一般途徑是使用段間返回指令ret。注意，不能用jmp指令實(shí)現(xiàn)任務(wù)內(nèi)不同特權(quán)級(jí)的變換。調(diào)用門描述符轉(zhuǎn)移的入口點(diǎn)包含目標(biāo)地址的

2、段及偏移量的48位全指針。在執(zhí)行通過(guò)任務(wù)門的段間轉(zhuǎn)移指令jmp或段間調(diào)用指令call時(shí)，指令所含指針內(nèi)的選擇子用于確定調(diào)用門，而偏移被丟棄；把調(diào)用門內(nèi)的48位全指針作為目標(biāo)地址指針進(jìn)行轉(zhuǎn)移。二、差不多思路取得全局描述符表，搜索該表找到一個(gè)臨時(shí)為空的描述符，安裝調(diào)用門，進(jìn)行遠(yuǎn)程調(diào)用即可實(shí)現(xiàn)特權(quán)指令操作。三、所用到的數(shù)據(jù)結(jié)構(gòu)全局描述符gdt的格式：struct gdt_descriptorword limitl;/段界限低16位word basel;/基地址低16位byte basem;/基地址中間8位byte attrib;/段屬性byte limith;/段界限的高4位(包括段屬性的高4位)b

3、yte baseh;/基地址的高8位門描述符的一般格式：當(dāng)type的低4位值為0 xc時(shí)，這是一個(gè)386調(diào)用門(callgate)。在vc中定義門如下：struct gate /門結(jié)構(gòu)類型定義word offsetl; / 32位偏移的低16位word selector; /選擇子byte dcount; /雙字計(jì)數(shù)字段byte gtype; /當(dāng)?shù)?位值為0 xc是，這是一個(gè)調(diào)用門word limith; /32位偏移的高16位全局描述符表寄存器gdtrgdtr長(zhǎng)48位，其中高32位為基地址，低16位為界限，gdtr中的段界限以字節(jié)為單位。在vc中定義如下：struct gdtrword w

4、gdtlimit;dword dwgdtbase;四、具體實(shí)現(xiàn)使用mfc appwizard新建一個(gè)基于對(duì)話框的應(yīng)用程序，工程名為myring0。在對(duì)話框中添加一個(gè)按鈕，修改id為id_getcr0，修改caption為取cr0的值，同時(shí)添加該按鈕的消息處理函數(shù)void cmyring0dlg:ongetcr0()。新建一個(gè)頭文件ring0.h并添加到工程中，添加下面的代碼到ring0.h中。#pragma pack(1)struct gdt_descriptorword limitl; /段界限低16位word basel; /基地址低16位byte basem; /基地址中間8位byte

5、attrib; /段屬性byte limith; /段界限的高4位(包括段屬性的高4位)byte baseh; /基地址的高8位; struct gate_descriptorword offsetl; / 32位偏移的低16位word selector; /選擇子byte dcount; /雙字計(jì)數(shù)字段byte gtype; /當(dāng)?shù)?位值為0 xc是，這是一個(gè)調(diào)用門word limith; /32位偏移的高16位;struct gdtrword wgdtlimit;dword dwgdtbase;#pragma pack()在myring0dlg.cpp中最后一個(gè)include語(yǔ)句后添加#i

6、nclude ring0.h，在按鈕的消息處理函數(shù)void cmyring0dlg:ongetcr0()前面添加下面兩個(gè)函數(shù)：_declspec(naked) void getcr0_ring0()_asmmov ebx,cr0 /特權(quán)指令mov eax,ebxretfbool callring0(pvoid pvring0funcaddr,pword pval) struct gdt_descriptor *pgdtdescriptor;struct gdtr gdtr;word callgateaddr3;word wgdtindex = 1;/取得全局描述符表gdt_asm sgdt g

7、dtr/ 空選擇子有專門用途，躍過(guò)它，從第二個(gè)選擇子開(kāi)始搜索pgdtdescriptor = (struct gdt_descriptor *)(gdtr.dwgdtbase + 8);for (wgdtindex = 1; wgdtindex attrib = 0)struct gate_descriptor *pgate;pgate = (struct gate_descriptor *) pgdtdescriptor;pgate-offsetl = loword(pvring0funcaddr);/選擇子0 x28總是指向ring0的代碼段pgate-selector = 0 x28;p

8、gate-dcount = 0;pgate-gtype = 0 xec;pgate-offseth = hiword(pvring0funcaddr);/預(yù)備遠(yuǎn)程調(diào)用參數(shù)callgateaddr0 = 0 x0;callgateaddr1 = 0 x0;callgateaddr2 = (wgdtindex 3) | 3;/進(jìn)入ring0_asm mov eax,pval_asm call fword ptr callgateaddr/歸還剛才使用的全局描述符memset(pgdtdescriptor, 0, 8);return true;/下一個(gè)全局描述符pgdtdescriptor+; /沒(méi)有空閑的全局描述符return false;為按鈕的消息處理函數(shù)void cmyring0dlg:ongetcr0()添加代碼如下：void cmyring0dlg:ongetcr0() / todo: add your control notification handler code here