9-调用门（无参）-CFANZ编程社区

1. 概述

本篇，将真正的实现提权——当前特权级从 3 变为 0.

当然，CPU 不会让你就这么简单的从 3 环跨到 0 环。但是，CPU 又必须提供一套方法，来让你完成这个功能。

前面讲过。DPL = 0 的非一致代码段，是绝对不允许不同特权级的程序跳转进来。可是，我给以给你开个后门，让你进来，然后给你最高权限，允许你胡作非为。

这个后门，必须由我（操作系统）来指定，而且只允许你跳转到我指定的地方。

2. 调用门

前面做过 jmp 跨段实验，但是 jmp 跨段后，权限是不会变的。CPU 提供给了我们另一种方法——调用门，来达到提权的目的。可以使用 call + 调用门的段选择子，来达到提权的目的。通过调用门，可以让 3 环程序进入 0 环，也就是由用户态变成内核态。

call far 指令格式

call far cs:eip

由于在 VC6.0 中不支持这种写法，所以可以写成下面这种形式。（buffer是一个长度为6字节的缓冲区，高2字节存放 cs 段选择子，低 4 字节存放偏移值。）

__asm {
  call fword ptr [buffer]
}

实际上，call far 后面跟的 eip 已经废弃。

下面的实验演示了如何读取高 2G 内存。

3. 编写 r0 函数 getData

该函数将运行在ring 0下，因为其中读取了高2G内存数据。
在 main 函数执行长调用，注意VC6.0 不能直接写 call 0x48:0，编译不通过

#include <windows.h>
#include <stdio.h>

WORD g_cs0, g_ss0, g_ds0, g_es0, g_fs0, g_gs0;
DWORD r0_data_lowdword, r0_data_hidword;

__declspec(naked) void getData() {
  __asm {
    pushfd
    pushad
    mov g_cs0, cs
    mov g_ss0, ss
    mov g_ds0, ds
    mov g_es0, es
    mov g_fs0, fs
    mov g_gs0, gs
    mov eax, 0x8003f048
    mov eax, [eax]
    mov r0_data_lowdword, eax
    mov eax, 0x8003f04c
    mov eax, [eax]
    mov r0_data_hidword, eax
    popad
    popfd
    retf
  }
}

void printData() {
  printf("g_cs0=%02x\ng_ss0=%02x\ng_ds0=%02x\ng_es0=%02x\ng_fs0=%02x\ng_gs0=%02x\nr0_data(0x8003f048)=%08x %08x\n", 
    g_cs0, g_ss0, g_ds0, g_es0, g_fs0, g_gs0, r0_data_hidword, r0_data_lowdword);
}

int main(int argc, char* argv[]) {
  char cs_eip[6] = {0, 0, 0, 0, 0x48, 0};// 这里的 eip 被废弃
  __asm {
    call fword ptr [cs_eip]
  }
  printData();
  getchar();
  return 0;
}

有一点需要注意的是，call far 函数指令的格式虽然是 call far cs:eip，但是这后面的 eip 已经被废弃。而真正的 eip 是填写到了调用门中。

4. 查看函数 getData 地址

在 main 函数第一行下断点，F5 运行调试，然后在函数 getData 中右键，查看反汇编

9-调用门（无参）_操作系统

5. 构造调用门描述符

调用门描述符结构

|   7    |     6  |     5     |    4    |   3    |   2    |   1    |   0    |  字节
|76543210|76543210|7 65 4 3210|765 43210|76543210|76543210|76543210|76543210|  比特
|-----------------|1|--|0|1100|000|-----|--------|--------|--------|--------|  占位
|offset in segment|P|D |S|TYPE|   |param|segment selector |offset in segment|  含义
|     31-16         |P |          |nums |                 |       15-0      |
                    |L |