-系统调用篇.docVIP

Windows的地址空间分用户模式与内核模式,低2GB的部分叫用户模式,高2G的部分叫内核模式,位于用户空间的代码不能访问内核空间,位于内核空间的代码却可以访问用户空间 一个线程的运行状态分内核态与用户态,当指令位于用户空间时,就表示当前处于内核态,当指令位于内核空间时,就处于内核态. 一个线程由用户态进入内核态的途径有3种典型的方式: 主动通过int 2e（软中断自陷方式）或sysenter指令（快速系统调用方式）调用系统服务函数，主动进入内核 发生异常，被迫进入内核 发生硬件中断，被迫进入内核 现在讨论第一种进入内核的方式：（又分为两种方式） 通过老式的int 2e指令方式调用系统服务(因为老式cpu没提供sysenter指令) 如ReadFile函数调用系统服务函数NtReadFile Kernel32.ReadFile() //点号前面表示该函数的所在模块 { //所有Win32 API通过NTDLL中的系统服务存根函数调用系统服务进入内核 NTDLL.NtReadFile(); } NTDLL.NtReadFile() { Mov eax,152 //我们要调用的系统服务函数号，也即SSDT表中的索引，记录在eax中 If(cpu不支持sysenter指令) { Lea edx,[esp+4] //用户空间中的参数区基地址，记录在edx中 Int 2e //通过该自陷指令方式进入KiSystemService，‘调用’对应的系统服务 } Else { Lea edx,[esp +4] //用户空间中的参数区基地址，记录在edx中 Sysenter //通过sysenter方式进入KiFastCallEntry，‘调用’对应的系统服务 } Ret 36 //不管是从int 2e方式还是sysenter方式，系统调用都会返回到此条指令处 } Int 2e的内部实现原理： 该指令是一条自陷指令，执行该条指令后，cpu会自动将当前线程的当前栈切换为本线程的内核栈（栈分用户栈、内核栈），保存中断现场，也即那5个寄存器。然后从该cpu的中断描述符表（简称IDT）中找到这个2e中断号对应的函数（也即中断服务例程，简称ISR），jmp 到对应的isr处继续执行，此时这个ISR本身就处于内核空间了，当前线程就进入内核空间了 Int 2e指令可以把它理解为intel提供的一个内部函数，它内部所做的工作如下 Int 2e { Cli //cpu一中断，立马自动关中断 Mov esp, TSS.内核栈地址 //切换为内核栈，TSS中记录了当前线程的内核栈地址 Push SS Push esp Push eflags Push cs Push eip //这5项工作保存了中断现场【标志、ip、esp】 Jmp IDT[中断号] //跳转到对应本中断号的isr } IDT的整体布局：【异常-空白-5系-硬】（推荐采用7字口诀的方式重点记忆） 异常：前20个表项存放着各个异常的描述符（IDT表不仅可以放中断描述符，还放置了所有异常的异常处理描述符，0x00-0x13） 保留：0x14-0x1F,忽略这块号段 空白：接下来存放一组空闲的保留项(0x20-0x29)，供系统和程序员自己分配注册使用 5系：然后是系统自己注册的5个预定义的软中断向量（软中断指手动的INT指令） （0x2A-0x2E 5个系统预注册的中断向量，0x2A：KiGetTickCount, 0x2B:KiCallbaclReturn 0x2C:KiRaiseAssertion, 0x2D:KiDebugService, 0x2E:KiSystemService） 硬： 最后的表项供驱动程序注册硬件中断使用和自定义注册其他软中断使用（0x30-0xFF） 下面是中断号的具体的分配情况: 0x00-0x13固定分配给异常： 0x00: Divide error(故障)? Debug (故障或陷阱)? 保留未用（为非屏蔽中断保留的，NMI）? breakpoint(陷阱)? Overflow(陷阱)? Bounds check(故障)? Invalid Opcode(故障)? Device not available(故障)? Double fault(异常中止)? Coprocessor segment overrun(异常中止)? Invalid TSS(故障)? Segment not present(故障)? Stack segment(故障)? General protecti