10.Windows线程切换_FS段寄存器

最新推荐文章于 2023-12-12 17:13:25 发布
原创 最新推荐文章于 2023-12-12 17:13:25 发布 · 566 阅读 · 0 ·
CC 4.0 BY-SA版权
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。

FS:[0]寄存器在3环时指向TEB.进入0环后FS:[0]指向KPCR

系统中同时存在很多个线程,这就意味着FS:[0]在3环时指向的TEB要有多个(每个线程一份)。

但在实际的使用中我们发现,当我们在3环查看不同线程的FS寄存器时, FS的段选择子都是相同的,那是如何实现通过一个FS寄存器指向多个TEB呢?

下面是ida的分析SwapContext代码

                        ; CODE XREF: SwapContext+85j
                        ; SwapContext+AEj
mov eax,[ebx+KPCR.NtTib.Self] ; 取出目标线程的TEB
mov ecx,[ebx+<
最低0.47元/天 解锁文章

200万优质内容无限畅学
Windows 中 FS 段寄存器
weixin_34408717的博客
11-06 550
代码运行在RING0（系统地址空间）和RING3（用户地址空间）时，FS段寄存器分别指向GDT(全局描述符表)中不同段：在RING3下，FS段值是0x3B（这是WindowsXP下值；在Windows2000下值为0x38。差别就是在XP下RPL=3）；运行在RING0下时，FS段寄存器值是0x30。下面以XP为例说说。 一．RING3下的FS ...
6.windows线程切换_主动切换
My classmates
10-19 1276
ida 分析KiSwapThread sub esp, 10h mov [esp+10h+var_4], ebx ;保存当前线程寄存器现场 mov [esp+10h+var_8], esi mov [esp+10h+var_C], edi mov [esp+10h+var_10], ebp mov ebx, ds:0FFDFF01Ch mov ...
40 进程与线程之Windows线程切换——FS段寄存器
qq_18059143的博客
12-05 632
FS:[0]寄存器在3环时指向TEB.进入0环后FS:[0]指向KPCR 系统中同时存在很多个线程,这就意味着FS:[0]在3环时指向的TEB要有多个(每个线程一份)。 但在实际的使用中我们发现,当我们在3环查看不同线程的FS寄存器时, FS的段选择子都是相同的,那是如何实现通过一个FS寄存器指向多个TEB呢? 下面是ida的分析SwapContext代码 ; CODE XREF: Sw...
Windows中FS段寄存器
misterliwei的专栏
06-17 6766
本文修订版见：Windows中FS段寄存器 V2线程运行在RING0（系统地址空间）和RING3（用户地址空间）时，FS段寄存器分别指向不同内存段的。线程运行在RING0下，FS段值是0x30（WindowsXP下值，在Windows2000下值为0x38）；运行在
Windows核心编程_FS段寄存器
17岁boy的博客
06-21 4906
Windows核心编程_FS段寄存器FS段寄存器Windows用来存储一些进程信息的，FS段的首地址是存储这些进程信息的首地址：在内核态FS指向GDT表的：0x30地址, 在用户态FS=0x3B也就是说当切换到用户态时，操作系统会把进程下正在执行的线程的某些信息写入到0X3B为起始地址的空间里，内核态时候也一样，操作系统也会写入一些关于内核程序的相关信息到0x3B里！由于进程的不同进程信息也不同，...
FS段寄存器详解
weixin_30568591的博客
03-22 1995
偏移　说明 00　　只想SEH链表指针 04　　线程堆栈顶部（地址最小） 08　　线程堆栈底部（地址最大） 0c　　SubSystemTib 10　　FiberData 14　　ArbitraryUserPointer 18　　FS 段寄存器在内存中的镜像 20　　进程PID 24　　线程ID 2c　　指向线程局部存储的指针 30　　PEB结构地址（进程结构） 34　...
9.Windows线程切换_TSS
My classmates
10-20 1343
SwapContext这个函数是Windows线程切换的核心,无论是主动切换还,是系统时钟导致的线程切换,最终都会调用这个函数。 在这个函数中除了切换堆栈以外,还做了很多其他的事情,了解这些细节对我们学习操作系统至关重要。 下面我们看看线程切换与TSS的关系。 栈底开始往上0x210个字节存储浮点寄存器的值，以上都是TrapFrame结构（在api3环进0环已经讲过了）。 调用API进0环 普...
浅谈FS段寄存器在用户层和内核层的使用
少仲
04-12 6370
在R0和R3时,FS段寄存器分别指向GDT中的不同段:在R3下,FS段寄存器的值是0x3B,在R0下,FS段寄存器的值是0x30.分别用OD和Windbg在R3和R0下查看寄存器(XP3),下图: FS寄存器的改变是从R3进入R0后和从R0退回到R3前完成的,也就是说：都是在R0下给FS赋不同值的.(FS在R0和R3中是不同的值,在KiFastCallEntry / KiSy
fs寄存器
weixin_30502965的博客
10-01 522
1、fs寄存器在Ring0中指向一个称为KPCR的数据结构，即FS段的起点与KPCR结构对齐。 2、对于Ring3的应用程序，fs:[0]的地址指向的是TEB结构，这个结构的开头是一个NT_TIB结构，NT_TIB结构的0x18偏移处是一个Self指针，指向这个结构自身，也就是指向TEB结构的开头。 TEB结构的0x30偏移是一个指向PEB的指针。PEB又是一个结构，这个结构的0x2偏移处是一...
FS寄存器
weixin_30394333的博客
07-30 1469
FS寄存器指向当前活动线程的TEB结构（线程结构）,缺省情况下fs:error表示fs未使用，若要引用fs寄存器，需fs:nothing后，才可使用。 XP下teb结构如下 kd> dt _tebnt!_TEB +0x000 NtTib : _NT_TIB ;SEH链表指针 +0x01c Environment...
段寄存器
热门推荐
maomao171314的专栏
01-15 1万+
一、段寄存器有哪些 ？ 段寄存器有ES、CS、SS、DS、FS、GS、LDTR、TR共8个。 通常我们用汇编读写某一个地址时，如下： Mov dword ptr ds:[0x123846],eax 这时我们把eax 的值往地址去写，写的地址是： ds.base + 0x123456 二、段寄存器的结构 在x86下.我们可以看如下寄存器表示图. 寄存器名称 段选择子(Select) 段属性(Attributes) .
Windows进程与线程学习笔记（八）—— 线程切换与TSS/FS
lzyddf的博客
12-06 1152
Windows进程与线程学习笔记（八）—— 线程切换与TSS/FS前言要点回顾线程切换与TSS内核堆栈调用API进0环实验：分析SwapContext线程切换与FS段描述符结构分析SwapContext总结 前言 一、学习自滴水编程达人中级班课程，官网：https://bcdaren.com 二、海东老师牛逼！ 要点回顾 SwapContext这个函数是Windows线程切换的核心，无论是主...
【免杀】通用shellcode原理及思路——FS段寄存器获取kernel32.dll基址逻辑、根据函数名进行查找逻辑、双指针循环遍历获取函数名称
m0_62783065的博客
01-08 720
【免杀】通用shellcode原理——FS段寄存器获取kernel32.dll基址逻辑、根据函数名进行查找逻辑、双指针循环遍历获取函数名称
线程切换-FS
qq_41490873的博客
06-07 262
mov eax, [ebx+18h] ; eax=TEB .text:00405A37 mov ecx, [ebx+3Ch] ; ecx=GDT .text:00405A3A mov [ecx+3Ah], ax ; fs的段选择子是38 拆开来是7（段选择为1的话，找的是GDT表的第二个，GDT表第...
以下是汇编中的段寄存器（大小写形式）及其解析：
2301_81654001的博客
12-12 790
段寄存器GA、FS、ES、DS、CS、SS
FS 寄存器使用
wowbell的专栏
03-18 1181
<br />在用户层下，FS寄存器指向当前活动线程的TEB结构                  nt!_TEB<br /> +0x000 NtTib : _NT_TIB<br /> +0x01c EnvironmentPointer : Ptr32 Void<br /> +0x020 ClientId : _CLIENT_ID<br /> +0x028 ActiveRpcHandle : Ptr32 Void<br /> +0
常见的寄存器
u010783226的专栏
03-13 1万+
嵌入式硬件
Windows线程(模拟线程切换、主动切换、时钟中断切换、时间片管理、TSS、FS、线程优先级)
qq_18811919的博客
04-17 2006
ThreadSwitch源码分析 线程结构体(ThreadSwitch源码仿照EHREAD) typedef struct { char *name;//线程名 相当于线程TID int Flags;//线程状态 int SleepMillisecondDot;//休眠时间 void *InitialStack;//线程堆栈起始位置 void *StackLimit;//线程堆栈界限 void *KernelStack;//线程堆栈当前位置，也就是ESP void *lpParameter;/
利用TEB和PEB在3环 断链模块 遍历模块
qq_41490873的博客
05-02 866
nt!_TEB +0x000 NtTib : _NT_TIB +0x01c EnvironmentPointer : Ptr32 Void +0x020 ClientId : _CLIENT_ID //UniqueProcess UniqueThread 进程ID +4 线程ID +0x028 ActiveRpcHan...
仔细讲讲._KTRAP_FRAME ,CONTEXT,_KPCR分别在windows内核什么过程中起什么作用?把所有主要的内容都说出来
最新发布
07-01
在x86系统中，内核使用FS寄存器（在32位系统中）或GS寄存器（在64位系统中）来指向当前处理器的KPCR。这样，内核代码可以通过FS或GS寄存器快速访问KPCR，进而访问当前处理器的信息。例如，在中断处理程序中，内核...
评论 1
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值