Windows x64内核学习笔记(二)—— IA-32e模式

Windows x64内核学习笔记(二)—— IA-32e模式

IA-32e模式

描述:IA-32e是IA-32模式的扩展,它是一种状态,其内核为64位,用户可以是32位,也可以是64位。

题外话:当在64位CPU中安装32位操作系统时,内核和用户都是32位的,这种状态叫做Legacy模式。

IA-32e模式的几个特性

  1. 强制平坦段:段基址不可随意设置,即不再兼容16位模式了。
  2. 不支持任务切换:取消了TSS任务切换
  3. 取消了虚拟8086模式和实模式切换

模式检测

描述:如果IA32_EFER MSR(下标为0xC0000080)寄存器的值第八位为1,说明当前系统处于IA-32e模式。
Windows x64内核学习笔记(二)—— IA-32e模式

强制平坦段

描述:在x64模式下,段描述符已经不再描述段的基址和界限(除了FS和GS),因此把这种机制叫做强制平坦段。

对于x64模式的gdt表来说,有值的项比x86少了很多,这是因为x64将侧重点放在了页保护而不是段保护。Windows x64内核学习笔记(二)—— IA-32e模式
关于64位段描述符的具体结构可以参考Intel开发手册卷3图5-2。
Windows x64内核学习笔记(二)—— IA-32e模式
也可以通过Windbg的「dg offset」命令解析具体的属性。
Windows x64内核学习笔记(二)—— IA-32e模式

任务切换

描述

  1. 在IA-32e模式下,TSS段描述符扩展到128位,用于满足寻址要求(普通段寄存器不再需要基址和界限)。
  2. TSS段描述符不用来进行任务切换,而是主要保存一堆RSP的备用指针(当3环和0环发生任务切换时)。

查看TSS数据:

  1. TSS段描述符的基址低四字节位于gdtr+40
    Windows x64内核学习笔记(二)—— IA-32e模式
    直接读是什么也读不到的
    Windows x64内核学习笔记(二)—— IA-32e模式

  2. TSS段基址的高四字节位于gdtr+48
    Windows x64内核学习笔记(二)—— IA-32e模式

  3. 凑在一起就能读出来具体的值了
    Windows x64内核学习笔记(二)—— IA-32e模式
    x64模式中TSS的具体结构可以参考Intel开发手册卷3图7-11。
    Windows x64内核学习笔记(二)—— IA-32e模式
    可以看到,它的前4个字节时保留的,因此在查看的时候需要跳过四个字节。
    Windows x64内核学习笔记(二)—— IA-32e模式

中断门描述符

描述:在x64模式中,中断门描述符也拓展到了128位,这样才能满足寻址要求。
Windows x64内核学习笔记(二)—— IA-32e模式
具体的中断门描述符结构参考Intel开发手册卷3图6-8
Windows x64内核学习笔记(二)—— IA-32e模式
其中,IST位表示当进入中断门时,使用TSS中的哪一项。
Windows x64内核学习笔记(二)—— IA-32e模式
不难发现,大部分中断门描述符的IST位都是0,只有少数是有值的。

为0的时候,使用TSS中的RSP0,其他时候使用IST对应的下标。

对照中断函数列表看一下IST有值的项分别都对应什么函数。
Windows x64内核学习笔记(二)—— IA-32e模式
可以看到,都是一些比较重要的中断处理程序,当执行这些函数时,需要切换到特定的堆栈。

FS / GS

描述:在x64系统中,当处于0环时,FS不再指向KPCR,而是由GS指向KPCR,在3环时GS指向TEB。

并且x64不再支持调用门、陷阱门、任务门,一律只支持中断门。

思考:为什么要这么做呢?
答案:因为如果通过其他门进去后再去关中断,那么执行关中断的指令时,如果产生了外部中断,由于此时FS寄存器和GS寄存器还没被正确设置,因此可能会产生错误,而调用中断门时,系统会自动将EFLAGS中的IF位清零,即关闭外部中断。

再思考:既然x64已经将段寄存器强制平坦了,FS和GS的基址该去哪里找呢?
答案:三个MSR寄存器。

  1. IA32_FS_BASE(下标0xC0000100)
  2. IA32_GS_BASE(下标0xC0000101)
  3. IA32_KERNEL_GS_BASE(下标0xC0000102)

有很多地方写的比较乱,后续有空理清楚了再来整理。

参考资料

上一篇:7.JVM调优-方法区,堆,栈调优详解


下一篇:[经验教程]Windows电脑无法自动获取ip地址怎么办?