码迷,mamicode.com
首页 > Windows程序 > 详细

[Windows内核分析]KPCR结构体介绍 (CPU控制区 Processor Control Region)

时间:2019-10-15 09:30:13      阅读:155      评论:0      收藏:0      [点我收藏+]

标签:erp   内核   active   reserve   serve   分析   let   cep   逆向   

Windows内核分析索引目录:https://www.cnblogs.com/onetrainee/p/11675224.html

 

逆向分析操作系统内核代码至少需要具备两项技能:

  1. 段页汇编代码非常懂。
  2. 至少掌握三个结构体:EPROCESS、ETHRAEAD、KPCR(注意:EPROCESS、ETHREAD是在R0,在R3的是PEB与TEB。

 

一、KPCR结构体介绍

  1. 当线程进入0环时,FS:[0]指向KPCR(3环时 FS:[0] --> TEB,如果想了解这个信息,可以看这篇博客 利用C++实现模块隐藏(R3层断链) )
  2. 每个CPU都有一个KPCR结构体(一个内核一个)
  3. KPCR中存储了CPU本身要用的一些重要数据:GDT、IDT以及线程相关的一些信息。

 

 

二、KPCR结构体成员详解

  使用windbg的 kd _KPCR 命令来查看该结构体成员。

        kd > dt _KPCR
        ntdll!_KPCR
        + 0x000 NtTib            : _NT_TIB  // 保存CPU常用的信息(比如异常处理函数链表、栈大小空间限制)
        + 0x01c SelfPcr : Ptr32 _KPCR // 指向自身,类似C++的this指针一样,方便编程。
        + 0x020 Prcb : Ptr32 _KPRCB // 指向 + 0x120 PrcbData : _KPRCB 结构体,该结构体为_KPCR的拓展,这么做(而不是使用偏移)是为了当其地址改变时也能正确找到。
        + 0x024 Irql : UChar
        + 0x028 IRR : Uint4B
        + 0x02c IrrActive : Uint4B
        + 0x030 IDR : Uint4B
        + 0x034 KdVersionBlock : Ptr32 Void
        + 0x038 IDT : Ptr32 _KIDTENTRY     //IDT表 一个CPU一套
        + 0x03c GDT : Ptr32 _KGDTENTRY  // GDT表 一个CPU一套
        + 0x040 TSS : Ptr32 _KTSS      // TSS表 一个CPU一套
        + 0x044 MajorVersion : Uint2B
        + 0x046 MinorVersion : Uint2B
        + 0x048 SetMember : Uint4B
        + 0x04c StallScaleFactor : Uint4B
        + 0x050 SpareUnused : UChar
        + 0x051 Number : UChar        // 当前CPU的编号
        + 0x052 Spare0 : UChar
        + 0x053 SecondLevelCacheAssociativity : UChar
        + 0x054 VdmAlert : Uint4B
        + 0x058 KernelReserved : [14] Uint4B
        + 0x090 SecondLevelCacheSize : Uint4B
        + 0x094 HalReserved : [16] Uint4B
        + 0x0d4 InterruptMode : Uint4B
        + 0x0d8 Spare1 : UChar
        + 0x0dc KernelReserved2 : [17] Uint4B
        + 0x120 PrcbData : _KPRCB    // 该结构体很大,是对于_KPCR的拓展

    1)_NT_TIB( + 0x000 NtTib ) 结构体介绍
            kd > dt _NT_TIB
            ntdll!_NT_TIB
            + 0x000 ExceptionList    : Ptr32 _EXCEPTION_REGISTRATION_RECORD // 在R0环的异常处理函数链表(R3环存储的是R3环的异常处理函数链表)
            + 0x004 StackBase : Ptr32 Void  // 栈基址
            + 0x008 StackLimit : Ptr32 Void  // 栈大小显示
            + 0x00c SubSystemTib : Ptr32 Void
            + 0x010 FiberData : Ptr32 Void
            + 0x010 Version : Uint4B
            + 0x014 ArbitraryUserPointer : Ptr32 Void
            + 0x018 Self : Ptr32 _NT_TIB  // this指针指向结构体自己

 

    2)_KPRCB 结构体介绍 (   位于 + 0x120 PrcbData : _KPRCB,同时  + 0x020 Prcb : Ptr32 _KPRCB 又指向)

     该结构体上千字节,这里仅节选部分有用的。    

    kd > dt _KPRCB
            ntdll!_KPRCB
            + 0x000 MinorVersion     : Uint2B
            + 0x002 MajorVersion : Uint2B
            + 0x004 CurrentThread : Ptr32 _KTHREAD    // 当前CPU正在跑的线程
            + 0x008 NextThread : Ptr32 _KTHREAD    // 一会切换的切换的是谁
            + 0x00c IdleThread : Ptr32 _KTHREAD    // 如果没有程序运行,跑的空闲线程是谁
            + 0x010 LegacyNumber : UChar
            + 0x011 NestingLevel : UChar
            + 0x012 BuildType : Uint2B
            + 0x014 CpuType : Char

[Windows内核分析]KPCR结构体介绍 (CPU控制区 Processor Control Region)

标签:erp   内核   active   reserve   serve   分析   let   cep   逆向   

原文地址:https://www.cnblogs.com/onetrainee/p/11675225.html

(0)
(0)
   
举报
评论 一句话评论(0
登录后才能评论!
© 2014 mamicode.com 版权所有  联系我们:gaon5@hotmail.com
迷上了代码!