双机调试配置参看我的另一篇文章[原创]内核学习-双机调试环境搭建-软件逆向-看雪论坛-安全社区|安全招聘|bbs.pediy.com，基于xp sp3系统

分析ReadProcessMemory了解系统调用

ida打开kernel32.dll（ReadProcessMemory函数在这个dll里）

参数压栈，call NTReadVirtualMemory，跳转至loc_7C802204

loc_7C802204调用了sub_7C8093FD

sub_7C8093FD内部调用了另一个函数RtlNtStatusToDosError

这个函数的作用是设置错误号

从sub_7C8093FD出来后，将eax清零，跳转到loc_7C8021F9

返回

当调用ReadProcessMemory失败时，返回结果为0，若NtReadVirtualMemory返回结果大于等于0，返回结果为1

ReadProcessMemory函数在kernel32.dll中只是调用了NtReadVirtualMemory，然后设置了返回值

在ntdll.dll中，Ntdll.dll:大多数API都会通过这个DLL进入内核(0环)

真正读取进程内存的函数在0环实现，我们所用的函数只是系统提供给我们的函数接口

该数据结构是三环与零环的共享内存。

它们使用固定的地址值映射，_KUSER_SHARED_DATA结构区域在User层和Kernel层地址分别为：
User：0x7ffe0000
Kernnel：0xffdf0000

指向的是同一个物理页，但是在user层是只读，在kernel层是可读可写的。

此结构体由操作系统负责初始化，其偏移 0x300 处有一个 SystemCall 属性，是个函数指针。

sysenter 指令可用于特权级 3 的用户代码调用特权级 0 的系统内核代码，而 SYSEXIT 指令则用于特权级 0 的系统代码返回用户空间中。sysenter 指令可以在 3，2，1 这三个特权级别调用（Linux 中只用到了特权级 3），而 SYSEXIT 指令只能从特权级 0 调用。

描述：当操作系统初始化时，其会通过CPUID指令查询当前CPU是否支持快速调用，如果支持则这里填写通过快速调用进入零环，否则通过中断进入零环。

可以设置eax=1，执行cpuid指令，处理器的特征信息被放在ecx和edx寄存器中，其中edx包含了一个SEP位（第11位），该位指明了当前处理器知否支持sysenter/sysexit指令，SEP=1，说明当前CPU支持 sysenter / sysexit 指令。以此来自行查看前处理器是否支持sysenter/sysexit指令。

当CPU支持快读调用，SystemCall 指向 ntdll.dll!KiFastSystemCall()
当CPU不支持快速调用，SystemCall 指向 ntdll.dll!KiIntSystemCall()

所有的API进内核时，统一的中断号为0x2e

在执行KiIntSystemCall函数前，系统调用号已被写入EAX。

在IDT表中找到0x2E号门描述符:2E 右移3位（或者乘8）得到 0x170，加上 r idtr获取的IDT基址，可以计算出 2E号中断对应的描述符：8053ee000008e481

门描述符：8053ee000008e481
指向地址：8053e481

CS：门描述符的段选择子部分（0008）（系统代码段）

查看eip

TSS描述符是 80008b04`200020ab,所以TSS的地址就是 80042000

所以ESP = 8054acf0, SS= 0010

小结：

进入0环后执行的内核函数NT!KiSystemService

mov edx,esp 三环栈顶值传给edx，此时eax中已经是系统调用号
sysenter指令 寄存器数据传递

sysenter 是从 MSR 寄存器里读取 CS,ESP,EIP(MSR寄存器里的值，则是系统启动时就已经填好)

相关的MSR寄存器的值

可以通过RDMSR/WRMST来进行读写（操作系统使用WRMST写该寄存器）：

查看eip所在地址的反汇编：

SS= IA32_SYSENTER_CS + 8

3环进0环的两种方式，分别是中断门和快速调用，CPU支持快速调用，那么_KUSER_SHARED_DATA 结构体的 SystemCall 属性指向的函数是 KiFastSystemCall，执行 KiFastSystemCall，使用快速调用的方式进0环；如果不支持，那么SystemCall 指向的函数是KiIntSystemCall，执行 KiIntSystemCall，使用中断门的方式进0环。

KiFastSystemCall：KiIntSystemCall：

两个函数的共同点：

1.更改4个寄存器：SS CS EIP ESP，进入0环。

两个函数的区别：

1.快速调用不需要访问内存，而中断门需要读TSS和IDT表

2.int 0x2e 和 sysenter 指令进0环后，分别调用了两个函数 KiSystemService 和 KiFastCallEntry。

int 0x2e进0环后调用函数KiSystemService

_Trap_Frame 和0环栈密切相关。用户定义中断进0环，涉及提权时，CPU会把5个寄存器的值压入0环堆栈。EIP CS SS EFLAG ESP

线程切换时会修改TSS表，确保每个线程执行时，TSS里的ESP,SS都对应当前线程。

基本概念：

_KTRAP_FRAME

_KPCR
KPCR（Processor Control Region）是CPU控制区的意思，每个CPU都有一个KPCR结构。描述cpu状态

_NT_TIB
主要存储了SEH结构化异常链表和一个指向自己的指针。

_KPRCB

_ETHREAD

存储的是线程相关的信息

_KTHREAD

存储的是线程相关的状态

中断门进0环后，新的ESP指向偏移 0x068（Eip）处!!!!!!

通过中断门的方式进入内核的时候，SS CS EIP ESP EFLAG的值已经存在 _KTRAP_FRAME中了。

解析：00407631 --00407637：设置_KTRAP_FRAME结构体的下图中的成员

00407639 ：fs.base = ffdff000，指向当前CPU的KPCR结构

在3环fs指向TEB结构，进入0环，fs指向KPCR结构体（通过段描述符），

00407650:esi 指向CurrentThread（当前cpu所执行线程的_ETHREAD）

00407656 : push dword ptr [esi+140h]：_ETHREAD+0x00+0x140->_KTHERAD+0x140-> PreviousMode（原来的先前模式）

00407640 压栈 ExceptionList->ExceptionList

00407656 压栈 PreviousMode->PreviousPreviousMode

0040765C:sub esp, 48h ;提升48h后 esp指向 _KTRAP_FRAME

00407698 jnz Dr_kss_a;保存调试相关的寄存器(DR0-DR7)到 _KTRAP_FRAME.DR0-_KTRAP_FRAME.DR7

0040769F jmp loc_407781;可以发现跳转到了_KiFastCallEntry函数内部（不同的方式保存寄存器，但是最后执行的代码是一样的），因为_KiIntSystemCall与KiFastSystemCall对于寄存器的处理不同，所以需要使用_KiFastCallEntry，KiSystemService两个函数填充_KTRAP_FRAME结构体。

sysenter 指令进0环后调用KiFastCallEntry

原来的寄存器存储到了 _Trap_Frame 结构体里，3环API参数指针通过EDX传给0环

##

[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课