周壑x64位内核学习 (五)、KPTI 页表隔离机制

页表隔离机制

内核有一个cr3，每个进程也有一个cr3

 

RWE：可读可写可执行

 

用用户CR3只能读gdt,idt,KVASCODE

内核CR3映射User space只有RW属性

!pte指令默认使用内核cr3

附加进程后得到的也是内核cr3

一、实验

1、构造0x21中断获取进程cr3

 

 

读出cr3

 

代码：

 x64asm.asm:

option casemap:none

EXTERN x:qword

.data
;ttt qword ?
.code

IntEntry Proc
mov rax,cr3
mov x,rax
; swapgs
; mov rsp,gs:[7000h]
; mov cr3,rsp
; mov rsp,gs:[7008h]
; mov gs:[10h],rsi
; mov rsi,gs:[38h]
; add rsi,4200h
; push qword ptr[rsi - 8] ;ss
; push qword ptr [rsi-10h]; rsp
; push qword ptr [rsi - 18h];rflags
; push qword ptr [rsi-20h];cs
; push qword ptr [rsi - 28h];rip
; and qword ptr gs:[10h],0
; sti
;@L:
; jmp @L
iretq
IntEntry ENDP

go Proc
int 21h
ret
go Endp

END

main.cpp:

#include <windows.h>
#include <stdio.h>
#include <stdlib.h>


extern "C" void IntEntry();
extern "C" void go();
extern "C" ULONG64 x;
ULONG64 x;

//kd> eq fffff804`0e46c210  0x0000ee00`00101000
//kd> eq fffff804`0e46c218 1

//address main  0x0000000100001010//
void main()
{
    if((ULONG64)IntEntry != 0x0000000100001000)
    {
        printf("wrong IntEntry at %p\n",IntEntry);
        system("pause");
        exit(-1);
    }
    system("pause");//中断后，附加进程修改页属性//
    go();
    printf("%p\n",x);
    system("pause");
}

 

这个cr3为进程cr3

 

2、获取内核cr3

这是内核cr3

 

进程cr3的话，只能读取gdt,idt,KVASCODE，用户cr3都可以读

以FFFFF8000CF4D2BD 地址为例

 

二、逆向分析 KiBreakpointTrapShadow

 

swapgs指令使gs结构体指向kpcr

add rsi , 4200h

加0x4200h后就是换栈空间，64位就是以idt表+4200h的位置作为切换内核栈的参数

 

 

三、模拟中断

 

代码

x64asm.asm:

option casemap:none

EXTERN x:qword

.DATA
.CODE

IntEntry PROC
    swapgs
    mov rsp,gs:[7000h]
    mov cr3,rsp
    mov rsp,gs:[7008h]
    mov gs:[10h],rsi
    mov rsi,gs:[38h]
    add rsi,4200h
    push qword ptr[rsi - 8] ;ss
    push qword ptr [rsi-10h]; rsp
    push qword ptr [rsi - 18h];rflags
    push qword ptr [rsi-20h];cs
    push qword ptr [rsi - 28h];rip
    and qword ptr gs:[10h],0
    sti
@L:
    jmp @L
    iretq
IntEntry ENDP

go Proc
    int 21h
    ret
go Endp

END

main.cpp

#include <windows.h>
#include <stdio.h>
#include <stdlib.h>


extern "C" void IntEntry();
extern "C" void go();
extern "C" ULONG64 x;
ULONG64 x;

//kd> eq fffff804`0e46c210  0x0000ee00`00101000
//kd> eq fffff804`0e46c218 1

//address main  0x0000000100001010//
void main()
{
    if((ULONG64)IntEntry != 0x0000000100001000)
    {
        printf("wrong IntEntry at %p\n",IntEntry);
        system("pause");
        exit(-1);
    }
    system("pause");//中断后，附加进程修改页属性//
    go();
    printf("%p\n",x);
    system("pause");
}

 

运行后：

 

如周老师所言，任务管理器也结束不了

 

我这有点小问题

本来，按照周壑老师实验，应该有一个修改页属性的过程，如下

 

修改页属性，可执行

把8变成0

 

 

但我用!pte 查看的时候，发现，那个页本就存在可执行属性...

于是乎，我没有修改程序也正常运行了。。。试了好多次，都是这样..

 

还有，在对虚拟地址进行转化的时候，无论怎样，我都拆分不成功，经常败在最后一步

 

 

 

未解决问题

1、PTE,CR3属性位

2、虚拟地址到物理地址转化

__EOF__

本文作者：_TLSN
本文链接：https://www.cnblogs.com/lordtianqiyi/articles/16057149.html
关于博主：评论和私信会在第一时间回复。或者直接私信我。
版权声明：本博客所有文章除特别声明外，均采用 BY-NC-SA 许可协议。转载请注明出处！
声援博主：如果您觉得文章对您有帮助，可以点击文章右下角【推荐】一下。您的鼓励是博主的最大动力！