Windows x64内核学习笔记（二）—— IA-32e模式

• IA-32e模式
• • 模式检测
  • 强制平坦段
  • 任务切换
  • 中断门描述符
  • FS / GS
• 参考资料

IA-32e模式

描述：IA-32e是IA-32模式的扩展，它是一种状态，其内核为64位，用户可以是32位，也可以是64位。

题外话：当在64位CPU中安装32位操作系统时，内核和用户都是32位的，这种状态叫做Legacy模式。

IA-32e模式的几个特性：

1. 强制平坦段：段基址不可随意设置，即不再兼容16位模式了。
2. 不支持任务切换：取消了TSS任务切换
3. 取消了虚拟8086模式和实模式切换

模式检测

描述：如果IA32_EFER MSR（下标为0xC0000080）寄存器的值第八位为1，说明当前系统处于IA-32e模式。

强制平坦段

描述：在x64模式下，段描述符已经不再描述段的基址和界限（除了FS和GS），因此把这种机制叫做强制平坦段。

对于x64模式的gdt表来说，有值的项比x86少了很多，这是因为x64将侧重点放在了页保护而不是段保护。
关于64位段描述符的具体结构可以参考Intel开发手册卷3图5-2。

也可以通过Windbg的「dg offset」命令解析具体的属性。

任务切换

描述：

1. 在IA-32e模式下，TSS段描述符扩展到128位，用于满足寻址要求（普通段寄存器不再需要基址和界限）。
2. TSS段描述符不用来进行任务切换，而是主要保存一堆RSP的备用指针（当3环和0环发生任务切换时）。

查看TSS数据：

1. TSS段描述符的基址低四字节位于gdtr+40
   
   直接读是什么也读不到的
   

2. TSS段基址的高四字节位于gdtr+48
   

3. 凑在一起就能读出来具体的值了
   
   x64模式中TSS的具体结构可以参考Intel开发手册卷3图7-11。
   
   可以看到，它的前4个字节时保留的，因此在查看的时候需要跳过四个字节。
   

中断门描述符

描述：在x64模式中，中断门描述符也拓展到了128位，这样才能满足寻址要求。

具体的中断门描述符结构参考Intel开发手册卷3图6-8

其中，IST位表示当进入中断门时，使用TSS中的哪一项。

不难发现，大部分中断门描述符的IST位都是0，只有少数是有值的。

为0的时候，使用TSS中的RSP0，其他时候使用IST对应的下标。

对照中断函数列表看一下IST有值的项分别都对应什么函数。

可以看到，都是一些比较重要的中断处理程序，当执行这些函数时，需要切换到特定的堆栈。

FS / GS

描述：在x64系统中，当处于0环时，FS不再指向KPCR，而是由GS指向KPCR，在3环时GS指向TEB。

并且x64不再支持调用门、陷阱门、任务门，一律只支持中断门。

思考：为什么要这么做呢？
答案：因为如果通过其他门进去后再去关中断，那么执行关中断的指令时，如果产生了外部中断，由于此时FS寄存器和GS寄存器还没被正确设置，因此可能会产生错误，而调用中断门时，系统会自动将EFLAGS中的IF位清零，即关闭外部中断。

再思考：既然x64已经将段寄存器强制平坦了，FS和GS的基址该去哪里找呢？
答案：三个MSR寄存器。

1. IA32_FS_BASE（下标0xC0000100）
2. IA32_GS_BASE（下标0xC0000101）
3. IA32_KERNEL_GS_BASE（下标0xC0000102）

有很多地方写的比较乱，后续有空理清楚了再来整理。

参考资料

• bilibili周壑：x64内核研究系列教程

标签：GS,32e,Windows,x64,模式,描述符,IA,TSS
来源： https://blog.csdn.net/qq_41988448/article/details/123111860