保护模式8-中断门

た入场券 2022-04-22 04:18 181阅读 0赞

windows没有使用调用门，但是使用了中断门

1.  老的cpu使用中断门进0环（新CPU使用快速调用）
2.  调试使用中断门

IDT(中断描述符表),和GDT一样，IDT表也是由一系列的段描述符组成。每个描述符8个字节  
但是值得注意的是，IDT表中的第一个描述符并不为空

**中断门和陷阱门，存在于IDT表中**  
把windows中断于Windbg调试器里

nt!RtlpBreakWithStatusInstruction:
    804e3a42 cc              int     3
    0: kd> dq idtr
    8003f400  804d8e00`0008f50e 804d8e00`0008f68d
    8003f410  00008500`0058113e 804dee00`0008faa1
    8003f420  804dee00`0008fc24 804d8e00`0008fd89
    8003f430  804d8e00`0008ff0a 804e8e00`00080583
    8003f440  00008500`00501198 804e8e00`00080988
    8003f450  804e8e00`00080aa6 804e8e00`00080be3
    8003f460  804e8e00`00080e40 804e8e00`0008113c
    8003f470  804e8e00`00081867 804e8e00`00081b9c

在windbg中查看idt表

中断门描述符结构：  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzM1NDI1MjQz_size_16_color_FFFFFF_t_70]  
中断门和调用门的区别在于，中断门的0-4位不允许赋值，即是不可传递参数了

接下来先构造一个中断门  
首先0-4位一定是0，p位为1，dpl为11，才是3环可以正常使用的一个中断门  
而中断门的type位固定为01110，P位+DPL+TYPE第一位为1110，而TYPE后4位也是1110，那么

0000>EE<00 00000000
    //当一个段描述符的第5，6位同时为E的时候，它就是一个中断门描述符

当然，如果第五位为8的时候他是一个0环权限的中断门  
![在这里插入图片描述][20181102144427789.png]  
其中第五个段描述符为3环可以用的中断门

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzM1NDI1MjQz_size_16_color_FFFFFF_t_70 1]  
我们使用int20这个系统并没有使用的中断号来存放我们的中断门描述符

004113A0 60               pushad       
    004113A0为我们的函数，中断门将会使用这个函数

接下来开始构造中断门

0041EE00`000813A0

我们把这个中断门安放于

8003f500  00000000`00080000
    eq 8003f500 0041EE00`000813A0

//构造完成中断门描述符
    8003f500  0041ee00`000813a0 00000000`00080000

这是我们的代码，这个函数的地址存放于中断门

int dwH2GValue;
    void __declspec(naked) ReadRegister()
    {
    	__asm
    	{
    	
    		PUSHAD
    		PUSHFD
    			mov eax,[0x8003F00c]
    			mov ebx,[eax]
    			mov dwH2GValue,ebx
    		POPFD
    		POPAD
    		iretd
    	}
    }

接下来使用int20这个中断号提升权限

__asm
    	{
    		int 0x20
    	}

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzM1NDI1MjQz_size_16_color_FFFFFF_t_70 2]  
执行代码，成功提升权限，读取高2G的内存！

#include "stdafx.h"
    int dwH2GValue;
    void __declspec(naked) ReadRegister()
    {
    	__asm
    	{
    	
    		PUSHAD
    		PUSHFD
    			mov eax,[0x8003F00C]
    			mov ebx,[eax]
    			mov dwH2GValue,ebx
    		POPFD
    		POPAD
    		iretd
    	}
    }
    int _tmain(int argc, _TCHAR* argv[])
    {
    	__asm
    	{
    		int 0x20
    	}
    	printf("成功读取高2G的内存：%x",dwH2GValue);
    	return 0;
    }

接下来测试进入0环以后的堆栈变化，寄存器变化已经标志寄存器变化

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzM1NDI1MjQz_size_16_color_FFFFFF_t_70 3]  
没有直接读取标志寄存器的指令，我们可以通过把EFLAGS寄存器入栈并且出栈，然后直接在堆栈里读取

读取完成可以看出，我们的堆栈的栈顶在0XB0E18DA8这个位置，堆栈的位置位于0环  
**当我们代码的权限发生变化的时候，堆栈也会随之变化！**

最后附上完整代码

#include "stdafx.h"
    #include <windows.h>
    DWORD dwH2GValue;
    DWORD g_eflagesBefore;
    DWORD g_eflagesAfter;
    DWORD g_eax;
    DWORD g_ecx;
    DWORD g_ebx;
    DWORD g_edx;
    DWORD g_esp;
    DWORD g_ebp;
    
    void __declspec(naked)GetH2GValue()
    {
    	_asm
    	{
    		pushad
    		pushfd
    		
    		mov g_eax,eax
    		mov g_ecx,ecx
    		mov g_ebx,ebx
    		mov g_edx,edx
    		mov g_esp,esp
    		mov g_ebp,ebp
    
    		pop g_eflagesAfter
    
    		xor eax,eax
    
    		mov eax,[0x8003f00c]
    		mov ebx,[eax]
    		mov dwH2GValue,ebx
    		
    		popad
    		iretd
    	}
    }
    
    void printH2GValue()
    {
    	printf("读取高2G的内存%x \n",dwH2GValue);//
    	
    	printf("原始flage寄存器 %08x\n",g_eflagesBefore);
    	printf("进入中断门后flage寄存器 %08x\n",g_eflagesAfter);
    	printf("进入0环以后的EAX寄存器：%x\n",g_eax);
    	printf("进入0环以后的ECX寄存器：%x\n",g_ecx);
    	printf("进入0环以后的EBX寄存器：%x\n",g_ebx);
    	printf("进入0环以后的EDX寄存器：%x\n",g_edx);
    
    	printf("进入0环以后的栈顶ESP：%x\n",g_esp);
    	printf("进入0环以后的栈顶EBP：%x\n",g_ebp);
    }
    int _tmain(int argc, _TCHAR* argv[])
    {
    	__asm
    	{
    		pushad
    		pushfd
    		popfd
    		mov eax,[esp-4]
    		mov g_eflagesBefore,eax
    		
    		popad
    	}
    	__asm
    	{
    		int 0x20
    	}
    	printH2GValue();
    	getchar();
    	return 0;
    }

[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzM1NDI1MjQz_size_16_color_FFFFFF_t_70]: /images/20220422/15a4c6b3637a43fe8b0501684b288fb0.png
[20181102144427789.png]: /images/20220422/648e763697f84352a45e15ca95f48e9f.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzM1NDI1MjQz_size_16_color_FFFFFF_t_70 1]: /images/20220422/33926fc302d545ec88e8471a4f8ac4a9.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzM1NDI1MjQz_size_16_color_FFFFFF_t_70 2]: /images/20220422/7c4b3c4dbc794987b3cd3d9271157d97.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzM1NDI1MjQz_size_16_color_FFFFFF_t_70 3]: /images/20220422/3b442c35629f4cca9152f2648f336fa7.png