0x0 起因

半年前做了NU1L CTF的一个逆向题目，大致的意思是32位程序里做了一个切换到64位的操作，使得大部分调试器都起不了作用（除了强大的WinDbg），当时因为水平不太行没有思路去深入了解题目背后的机制。近日做windows进程在用户态和内核态切换的研究时再次遇到了这个技术，经过手搓内核的洗礼（~~还没写完~~），这一次分析起来虽饱含艰辛，却有星辰指路。

0x1 初见 retf

野生的汇编指令retf出现了！

平日里做逆向时，最常见的返回上一栈帧的指令是ret/retn，retf使用频率很少，但是如果有跟踪系统函数相关的经历，就会经常看到这个汇编指令了。解释如下：

ret	retf
用栈中数据改IP内容,近转移。拆开表示为：pop ip	用栈中数据同时改CS,IP,远转移。拆开表示为：pop ip,pop cs

那么retf除了修改ip之外，还修改了段寄存器cs，那么架构切换一定和cs寄存器有关系。经过查阅资料和实际调试，环境为Windows10 1903 x64；进程环境为32位时，cs寄存器的值为0x23；进程环境为64为时，cs寄存器的值为0x33。也就是说，当前32位进程想要切换到x64位环境时，需要利用retf把修改为0x33。

0x2.1 线索1 Windows进程代码段映射规律

Windows x64在初始化进程的时候会把代码段映射到两个位置，便于切换。而实际在调试的时候笔者发现这两个位置其实是重合的，并没有所谓的在一份虚拟空间里找到两个相同的代码段。

0x2.2 线索2 段寄存器，全局描述符表，段描述符

说起段寄存器，有过一些汇编基础的人会想当然认为地址 = 段寄存器«4 + ip。但是进一步学习操作系统会发现，前者只适用于实模式下的寻址；开启保护模式后的操作系统，段寄存器的实际长度位96(32+32+16+16)位，前80位在processor内部不可见，只显示最后的16位。因此“16位的段寄存器”中的数据不再负责记录偏移用作寻址，而是作为选择子，充当GDT的index。（实际结构笔者并未在intel手册上查找到记载，在亲自逆向或查阅后会更新内容）

笔者查阅intel的手册后发现：在保护模式下段寄存器实际不止16位，还有一部分在processor内部，外部不可见，这部分不可见的部分有时会被作为段描述符的缓存。最后可见的16位作为Selector充当GDT的index。

注：保护模式下用户态每个进程的CS，DS等的BaseAddr都是0。

下图给出了16位Selector的结构细节以及作用：

这里需要解释一下，Windows只采用GDT而不采用LDT，GDT全局可见，因此TI始终为0。对于低2位而言，如果是CS，则为CPL。CPL,RPL,DPL的联系和区别

例如CS分别为0x23，0x33时，二进制来看就是：0b100011和0b110011。

介绍完低3位之后，就剩下Index没有说了，作用详见下图。

上图就是段描述符，它作为元素存在GDT中。每个段可以根据Selector在GDT中寻找并填充关于它的运行权限、状态等。

0x3 神秘的段寄存器值 0x23 0x33

经过0x2的讲解，相信读者已经复习了一遍保护模式下段寄存器的结构和作用，Selector和GDT的关系。接下来就是探究为什么从32-bit切换到64-bit，CS的值要从0x23切换到0x33。将hex转换为bin或者dec更易理解。

arch	32-bit	64-bit
hex	0x23	0x33
bin	100011	110011
index	100	110

当进程环境是32-bit时，Selector的值是4，也就是GDT的第五项；

当进程环境是64-bit时，Selector的值是6，也就是GDT的第七项。

0x4 追踪GDT，读取内存

那么接下来的工作就是找到GDT的地址，读取段描述符，对比CS值为0x23、0x33的差异。因为在R3调试无法看到gdtr寄存器，查看GDT内容时选择了双机内核调试的策略，可以让WinDbg调试虚拟机的内核，读到R3看不到的数据。

实验环境：宿主机 Windows10 1909 x64 ，虚拟机 Windows8.1 x64 ，调试工具 VirtualKD、Windbg。

1.使用简单Windows API VirtualAllocEx()切入x64

这个步骤我们需要的就是在x64环境下编译一个32位程序，32位程序中调用一个方便跟踪的函数，笔者选择了VirtualAllocEx()，代码如下：

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13


#include <iostream>
#include <cstdio>
#include <cstring>
#include <Windows.h>


int main(int argc, char** argv)
{
	auto hd = GetModuleHandle(NULL);
	int a = 1;
	auto p = VirtualAllocEx(hd,0,100,0,0);
	return 0;
}