-
-
[求助] 请问在这种情况下，GS段寄存器是如何被修改的？
-
发表于: 2019-2-27 20:38
-
|
|
|---|---|
|
|
|
|
|
|
|
|
多谢回复。这两个函数好像确实有能力越过调试器把GS改回来。 不过感觉道理上说不通，因为类似于这种“保存状态并恢复”的函数， 应该会把已经改为0的GS保存下来。中间GS可能会变，但最后会恢复为保存下来的值。 在应用程序看来，GS改为0后就一直是0。 而实际情况是在应用程序把GS改为0以后，很快GS又会变为0x2b。 |
|
|
gs是被强制指定的，应该不是简单的保存+恢复 |
|
|
直接指定的,并不是保存,R0直接指定GS=2B然后把处理权限交给R3, NTDLL->WOW64->X86(若GS != 2B)会爆炸. |
|
|
原来是这样啊
|
|
|
|
|
|
那你还不如patch掉内核强制指定gs的那块代码 做个hook 然后自己做判断 |
|
|
谢谢，主要是希望在发生上下文切换后，回到程序的时候程序能感知，但好像Windows没有提供正常途径实现这一点。可能只有patch内核了 |
hzqst
