FS寄存器的作用

最新推荐文章于 2025-01-22 18:39:19 发布

tanweng

最新推荐文章于 2025-01-22 18:39:19 发布

阅读量8k

点赞数 2

分类专栏： Windows编程

Windows编程专栏收录该内容

3 篇文章

订阅专栏

确实通过读取FS寄存器指定的内存可以获得很多系统关键信息，主要是和进线程相关的很多信息，例如

代码:

lkd> u PsGetCurrentProcess
nt!IoGetCurrentProcess:
804f0700 64a124010000    mov     eax,dword ptr fs:[00000124h]
804f0706 8b4044          mov     eax,dword ptr [eax+44h]

代码:

lkd> u PsGetCurrentThread
nt!PsGetCurrentThread:
8052c42a 64a124010000    mov     eax,dword ptr fs:[00000124h]

    可见，fs:[00000124h] 这里存放的是当前线程的KTHREAD，有了这个结构那么当前运行的进程，线程信息就都可以取到了。by the way，这种运行状态相关的信息必然也只能通过最简单的方式获取到，因为这是获取其它信息的源头。linux kernel 通过esp 向下取整到8K 就可以得到 thread_info信息，同样的简单。

    那么FS作为段寄存器到底指向的是什么呢？我取了内核态和用户态FS的值，在内核态FS=0x30, 在用户态FS=0x3B。实际上如果你去看wrk中SwapContext 和 KiSystemServices的代码就会发现，FS 只会是前面提到的两个固定值。OK，且看内核态FS 指向哪里：

代码:

kd> r gdtr
gdtr=8003f000
kd> dq 8003f000
8003f000  00000000`00000000 00cf9a00`0000ffff
8003f010  00cf9200`0000ffff 00cffa00`0000ffff
8003f020  00cff200`0000ffff 80008b04`200020ab
8003f030  ffc092df`f0000001 0040f300`00000fff
8003f040  0000f200`0400ffff 00000000`00000000
8003f050  80008954`a3000068 80008954`a3680068
8003f060  00009202`2f30ffff 0000920b`80003fff
8003f070  ff0092ff`700003ff 80009a40`0000ffff

我打印了全局描述符GDTR指向的内存内容，FS 指向的描述符应该是其中一项（理论上也有可能指向LDTR，但后面会看到FS没有指向这里）。那么FS到底指的是那一项，这时候需要翻出来INTEL手册了

代码:

kd> .formats 0x30
Evaluate expression:
  Hex:     00000030
  Decimal: 48
  Octal:   00000000060
  Binary:  00000000 00000000 00000000 00110000
  Chars:   ...0
  Time:    Thu Jan 01 08:00:48 1970
  Float:   low 6.72623e-044 high 0
  Double:  2.37152e-322

和上面的图对照，0x30 解释的结果是
RPL 0 TI 0 Index 6
意思是从GDTR中取第6项，here we go 从前面打印的内存中取第6项，内容为
ffc092df`f0000001。后面我们需要解释这个描述符项的含义。再次参照intel手册

代码:

kd> .formats ffc092df
  
  Binary:  11111111 11000000 10010010 11011111
  
kd> .formats f0000001

  Binary:  11110000 00000000 00000000 00000001

按手册中规则的形式，拼接出段的基地址
11111111 11011111 11110000 00000000
把这个数值转换成16进制为 0xFFDFF000 。如果你熟悉windows内核的话现在应该WOW了。是的，这是关于运行态最重要的信息PCR的地址，而且这个地址永远固定在0xFFDFF000（单核，XP）。这里是一个KPCR结构，这个结构里有关于当前线程的所有信息。
    至此，我们搞清楚了在内核里面为什么可以通过FS方便的取得进程，线程信息，也解释前面列举的两个函数的原理。

  在用户态，走一遍我刚才介绍的流程一切也就了然了。过程不再赘述。得到的FS 指向的虚拟内存地址为7ffdd000。这个地址正好是线程的TEB的地址。实际上，KPCR里有字段直接指向了线程的TEB。