-
-
[旧帖]
[求助]关于查看GDT的问题
0.00雪花
-
发表于:
2010-6-7 21:29
1601
-
[旧帖] [求助]关于查看GDT的问题
0.00雪花
是这样的.学习了下那几个16位寄存器的用处.知道了涉及保护模式的意思.所以能想做下验证.过程如下:
1.首先 windbg中用VM调试虚拟机(虚拟机是2003) r gdtr得到结果是gdtr=8003f000.FS=0030那么按照计算应该是:0030的二进制的表示是ring 0级.GDT中.索引是6.那么8003f000+6*8.可是DD的结果确实如下:
kd> r
eax=00000001 ebx=00000806 ecx=80896d4c edx=000003f8 esi=00000000 edi=13238076
eip=8086cf18 esp=80894580 ebp=80894590 iopl=0 nv up ei pl nz na po nc
cs=0008 ss=0010 ds=0023 es=0023 fs=0030 gs=0000 efl=00000202
nt!RtlpBreakWithStatusInstruction:
8086cf18 cc int 3
kd> r gdtr
gdtr=8003f000
kd> dd 8003f000+8*6
8003f030 f0000001 ffc092df 00000fff 0040f300
8003f040 0400ffff 0000f200 00000000 00000000
8003f050 48b00068 80008989 49180068 80008989
8003f060 30c0ffff 00009202 80003fff 0000920b
8003f070 700003ff ff0092ff 0000ffff 80009a40
8003f080 0000ffff 80009240 00000000 00009200
8003f090 00000000 00000000 00000000 00000000
8003f0a0 00000000 00000000 00000000 00000000
这ffdff000这不是PCR的地址么?为什么会这样呢?
2.因为我是新手.心想可能是因为现在调试的是系统.而网上说的情况.是ring 3的情况.所以OD用启动新进程的方式调试DEPENDS.EXE.断下来的地方 正好是个FS的指令 mov eax,fs:[0] 看下面写的是:fs:[00000000]=[7ffdf000]=0012ffe0.但是右键转到表达式输入8003f038(现在FS是003B).不让查看.显示指定地址无内存.可是.为什么0D就能知道FS:[0]是[7ffdf000]呢?这个换算过程中也是需要查看8003F038才能知道的啊.他为什么就能读这个地址呢?而且换用WINDGB调试本地进程的方式.打开新进程和attach的方式也都是R命令显示错误.dd 8003F038也显示一串问号.那到底怎么读呢?
http://bbs.pediy.com/showthread.php?t=86249 看10楼中。他为什么可以直接dd 8003f000+8*6呢?
[课程]Linux pwn 探索篇！
