05_段描述符属性：DB位

前言

在上一节中，我们学习了段描述符的Type域，它决定了段是代码还是数据，是只读还是可写。 在Type域的上方，还有一个至关重要的位——第22位。

在Intel文档中，它被称为D/B位。

• 对于代码段，它叫D位 (Default Operation Size)。
• 对于数据段/堆栈段，它叫B位 (Big)。

这个位是16位模式与32位模式的分水岭。在Windows XP这样的32位系统中，如果这个位设置错误，会导致指令解析错误或堆栈崩溃。

一、 D/B位的位置

我们回顾段描述符结构，如下所示：

• 位置：高4字节的第22位 。
• 全称：Default Operation Size/Big Flag。

二、 情况一：对代码段的影响 (D位)

当S=1且Type指示为代码段时，这一位称为D位。它告诉CPU： 在这个段里执行指令时，默认使用多少位的数据宽度。

1. D = 1 (32位模式)

• 指令：默认操作数和地址是32位的。

• 场景：Windows XP、Linux 等现代32位操作系统的代码段（CS）都必须设为1。

• 行为：

  • PUSH EAX：压入4字节。
  • MOV EAX, EBX：传输4字节。
  • 指针偏移量使用EIP(32位)。

2. D = 0 (16位模式)

• 指令：默认操作数和地址是16位的。

• 场景：早期的DOS、Windows 3.1或16位兼容模式。

• 行为：

  • PUSH AX：压入2字节。
  • 指针偏移量使用IP(16位)，最大寻址64KB。

3. 指令前缀

在32位代码段（D=1）中，如果我们非要用16位操作怎么办？比如VC++中的 short 类型。编译器会在指令前加一个 前缀0x66。

• 默认：MOV EAX, EBX (32位传输)
• 加前缀：0x66 MOV AX, BX (CPU看到前缀，临时将模式反转为16位)。我们做一个简单的实验，代码如下：

int main(int argc, char* argv[])
{
	printf("Hello World!\n");

	__asm
	{
		// 32位操作 D=1
		mov eax,ebx
		// 强制16位操作
		mov ax, bx
		// 欺骗CPU,CPU会把它解析成16位指令
		_emit 0x66
		mov eax,ebx
	}
	return 0;
}

查看反汇编如下所示：

四、 情况三：对段上限的影响 (向下扩展段)

回顾上一节：

• 向上扩展 (ED=0) ：有效范围 [0, Limit]。
• 向下扩展 (ED=1) ：有效范围 [Limit+1, 上限]。

问题来了：这个上限是多少？
这就由B位决定。

B 位	段上限 (Upper Bound)	有效范围 (向下扩展)
B = 1	4GB (0xFFFFFFFF)	[Limit+1, 0xFFFFFFFF]
B = 0	64KB (0xFFFF)	[Limit+1, 0xFFFF]

五、WinDbg实验：验证B位对堆栈的影响

为了验证B位 (Bit 22) 的作用，我们将手动构造一个B=0(16位模式) 的数据段。

1.构造描述符

我们需要构造一个满足以下条件的段描述符：

• Base: 0
• Limit: 0xFFFFF (20位全1)
• G (粒度) : 1 (4KB单位) -> 理论上限4GB
• D/B 位: 0 (16位模式)
• DPL: 3 (允许Ring 3访问)
• Type: 3 (可读写数据段)

手动计算二进制值：

1. 低 4 字节 (Low Dword) :

   • 包含 Base 低 16 位 (0000) 和 Limit 低 16 位 (FFFF)。
   • 结果：0000FFFF

2. 高 4 字节 (High Dword) :

   • Byte 5 (属性低位) : P(1) | DPL(11) | S(1) | Type(0011) = 1111 0011 = F3

   • Byte 6 (属性高位 + Limit) : G(1) | D/B(0) | 0 | AVL(0) | LimitHigh(1111)

     • 二进制：1000 1111 = 8F

   • Base 高位均为 0。

   • 结果：008FF300

2. WinDbg写入与验证

// 1. 获取GDT基址
kd> r gdtr
gdtr=8003f000

kd> eq 8003f048 008ff300`0000ffff
kd> dg 0x4b
                                  P Si Gr Pr Lo
Sel    Base     Limit     Type    l ze an es ng Flags
---- -------- -------- ---------- - -- -- -- -- --------
004B 00000000 ffffffff Data RW Ac 3 Nb Pg P  Nl 000008f3

通过输出中的Si (Size) 列显示为Nb(Not Big)，说明B位生效，这是一个16位的数据段。同时Gr为Pg (4KB)，说明G位也生效了。

3. 代码验证

针对于B=0向上扩展实验实验代码如下：

#include "stdafx.h"
#include <stdio.h>
#include <stdlib.h>

int main(int argc, char* argv[])
{
    
	unsigned short selector = 0x4B;

	int num = 0x12345678;
	int* paddr = &num;
	int read_val = 0;
	
	printf("Test: Accessing 16-bit Data Segment (B=0, Selector 0x4B)...\n");
    printf("Target Address: 0x%08X (Valid Stack Address)\n", paddr);

	__asm
	{
		mov ax,selector
		mov es,ax

		mov ecx,paddr
		mov eax, es:[ecx]
		mov read_val,eax
	}
	printf("Read success! Value: 0x%X\n", read_val);
    system("pause");
    return 0;
}

执行结果如下所示：

结论：证明了对于向上扩展数据段，B=0不限制最大偏移量。即使地址是0x0012FF78（远大于64KB），依然可以访问。

针对B=0向下扩展的情况（需要先使用windbg修改段描述符：eq 8003f048 0000f700`00000000），该段的有效范围最大上限为1 ~ 64KB，代码如下：

#include "stdafx.h"
#include <stdio.h>
#include <stdlib.h>

int main(int argc, char* argv[])
{
    int target_var = 100;
    int *pAddr = &target_var;
    int read_val = 0;

    unsigned short selector = 0x4B;

    printf("[Test] Expand-Down Segment with B=0 (Limit=0, Max=64KB)\n");
    printf("Target Address: 0x%08X\n", pAddr);

    // 因为B=0，最大只能访问0xFFFF。
    // 我们的地址0x12xxxx > 0xFFFF！
    printf("[Action] Attempting read (Expect Crash)...\n");

    __asm 
    {
        mov ax, selector
        mov es, ax
        
        mov ecx, pAddr
        mov eax, es:[ecx]
        mov read_val, eax
    }
	
    printf("Read Success! (Unexpected for B=0)\n");
    
    system("pause");
    return 0;
}

读取失败，如下所示：

对比实验：
现在我们只改动描述符，把B位改成 1，代码不变动。

kd> eq 8003f048 0040f700`00000000
kd> dg 0x4B
                                  P Si Gr Pr Lo
Sel    Base     Limit     Type    l ze an es ng Flags
---- -------- -------- ---------- - -- -- -- -- --------
004B 00000000 00000000 Data RW Ac 3 Bg By P  Nl 000004f7

读取成功，如下所示：

结论：在向下扩展段中，B位决定了有效寻址范围的上限（即64KB还是4GB）。