用VisualCCPU特權(quán)指令操作

1、用Visual C+實(shí)現(xiàn)CPU特權(quán)指令操作一、引言80 x86系列cpu具有四級愛護(hù)機(jī)制。在windows 9x操作系統(tǒng)只使用0級和3級，以便于移植到精簡指令集的計(jì)算機(jī)上，如rs4000等，這些處理器一般只有兩個特權(quán)級，即系統(tǒng)級和用戶級。在windows 9x系統(tǒng)環(huán)境，應(yīng)用程序運(yùn)行在ring3（3級），假如要運(yùn)行特權(quán)指令就必須進(jìn)入ring0（0級）。在同一任務(wù)內(nèi)，實(shí)現(xiàn)特權(quán)級從外層到內(nèi)層變換的一般途徑是使用段間調(diào)用指令call，通過調(diào)用門進(jìn)行轉(zhuǎn)移；實(shí)現(xiàn)特權(quán)級從內(nèi)層向外層變換的一般途徑是使用段間返回指令ret。注意，不能用jmp指令實(shí)現(xiàn)任務(wù)內(nèi)不同特權(quán)級的變換。調(diào)用門描述符轉(zhuǎn)移的入口點(diǎn)包含目標(biāo)地址的

2、段及偏移量的48位全指針。在執(zhí)行通過任務(wù)門的段間轉(zhuǎn)移指令jmp或段間調(diào)用指令call時，指令所含指針內(nèi)的選擇子用于確定調(diào)用門，而偏移被丟棄；把調(diào)用門內(nèi)的48位全指針作為目標(biāo)地址指針進(jìn)行轉(zhuǎn)移。二、差不多思路取得全局描述符表，搜索該表找到一個臨時為空的描述符，安裝調(diào)用門，進(jìn)行遠(yuǎn)程調(diào)用即可實(shí)現(xiàn)特權(quán)指令操作。三、所用到的數(shù)據(jù)結(jié)構(gòu)全局描述符gdt的格式：struct gdt_descriptorword limitl;/段界限低16位word basel;/基地址低16位byte basem;/基地址中間8位byte attrib;/段屬性byte limith;/段界限的高4位(包括段屬性的高4位)b

3、yte baseh;/基地址的高8位門描述符的一般格式：當(dāng)type的低4位值為0 xc時，這是一個386調(diào)用門(callgate)。在vc中定義門如下：struct gate /門結(jié)構(gòu)類型定義word offsetl; / 32位偏移的低16位word selector; /選擇子byte dcount; /雙字計(jì)數(shù)字段byte gtype; /當(dāng)?shù)?位值為0 xc是，這是一個調(diào)用門word limith; /32位偏移的高16位全局描述符表寄存器gdtrgdtr長48位，其中高32位為基地址，低16位為界限，gdtr中的段界限以字節(jié)為單位。在vc中定義如下：struct gdtrword w

4、gdtlimit;dword dwgdtbase;四、具體實(shí)現(xiàn)使用mfc appwizard新建一個基于對話框的應(yīng)用程序，工程名為myring0。在對話框中添加一個按鈕，修改id為id_getcr0，修改caption為取cr0的值，同時添加該按鈕的消息處理函數(shù)void cmyring0dlg:ongetcr0()。新建一個頭文件ring0.h并添加到工程中，添加下面的代碼到ring0.h中。#pragma pack(1)struct gdt_descriptorword limitl; /段界限低16位word basel; /基地址低16位byte basem; /基地址中間8位byte

5、attrib; /段屬性byte limith; /段界限的高4位(包括段屬性的高4位)byte baseh; /基地址的高8位; struct gate_descriptorword offsetl; / 32位偏移的低16位word selector; /選擇子byte dcount; /雙字計(jì)數(shù)字段byte gtype; /當(dāng)?shù)?位值為0 xc是，這是一個調(diào)用門word limith; /32位偏移的高16位;struct gdtrword wgdtlimit;dword dwgdtbase;#pragma pack()在myring0dlg.cpp中最后一個include語句后添加#i

6、nclude ring0.h，在按鈕的消息處理函數(shù)void cmyring0dlg:ongetcr0()前面添加下面兩個函數(shù)：_declspec(naked) void getcr0_ring0()_asmmov ebx,cr0 /特權(quán)指令mov eax,ebxretfbool callring0(pvoid pvring0funcaddr,pword pval) struct gdt_descriptor *pgdtdescriptor;struct gdtr gdtr;word callgateaddr3;word wgdtindex = 1;/取得全局描述符表gdt_asm sgdt g

7、dtr/ 空選擇子有專門用途，躍過它，從第二個選擇子開始搜索pgdtdescriptor = (struct gdt_descriptor *)(gdtr.dwgdtbase + 8);for (wgdtindex = 1; wgdtindex attrib = 0)struct gate_descriptor *pgate;pgate = (struct gate_descriptor *) pgdtdescriptor;pgate-offsetl = loword(pvring0funcaddr);/選擇子0 x28總是指向ring0的代碼段pgate-selector = 0 x28;p

8、gate-dcount = 0;pgate-gtype = 0 xec;pgate-offseth = hiword(pvring0funcaddr);/預(yù)備遠(yuǎn)程調(diào)用參數(shù)callgateaddr0 = 0 x0;callgateaddr1 = 0 x0;callgateaddr2 = (wgdtindex 3) | 3;/進(jìn)入ring0_asm mov eax,pval_asm call fword ptr callgateaddr/歸還剛才使用的全局描述符memset(pgdtdescriptor, 0, 8);return true;/下一個全局描述符pgdtdescriptor+; /沒有空閑的全局描述符return false;為按鈕的消息處理函數(shù)void cmyring0dlg:ongetcr0()添加代碼如下：void cmyring0dlg:ongetcr0() / todo: add your control notification handler code here