理论知识

SYSENTER 指令是在 Inter Pentium(R) Ⅱ 处理器上作为“高速系统调用”功能的一部分被首次引用的。

SYSENTER 指令进行过专门的优化，能够以最佳性能由 Ring3 层切换到 Ring0 层。

微软首次引用 SYSENTER 指令是在 Windows 2000 的系统上，再次之前微软的系统是通过自陷指令 int 0x2E 进入 Ring0 层的系统空间的。

在 Windows 2000 及以后的系统中，假设想要从 Ring3 层进入 Ring0 层，系统首先会将要调用的系统调用号（SSDT调用号）放入 EAX 中。然后将当前栈指针 ESP 的内容放入 EDX 中后运行SYSENTER 指令；

SYSENTER 被运行后会将控制权传递给特殊模块寄存器 IA32_SYSENTER_EIP 所指向的函数中，完毕兴许操作。

特殊模块寄存器组（Model-Specific registers。MSRs）是 CPU 中负责运行一些特定的、与计算逻辑相关性不大的、且操作较复杂的功能的一组寄存器。

特殊模块寄存器可通过使用 rdmsr/wrmsr 指令读写其位于 MSRs 指定偏移处的某个寄存器的信息。

MSRs 共包括上百种具有不同功能的寄存器。每一个寄存器所在的偏移与所占用的空间都不尽同样。眼下 MSRs 的可用偏移范围是 0x00000000 ~ 0xC0000103。

与 SYSENTER 相配合的 MSRs 共同拥有3个，其具体信息例如以下所看到的：

名称	偏移	说明
SYSENTER_CS_MSR	0x174	切换到 Ring0 层之后的 CS 选择器
SYSENTER_ESP_MSR	0x175	切换到 Ring0 层之后的 ESP
SYSENTER_EIP_MSR	0x176	切换到 Ring0 层之后的 EIP

SYSENTER 被运行时，这 3 个寄存器会运行以下操作配合.

SYSENTER 完毕的切换操作：

装载 SYSENTER_CS_MSR 到 CS 寄存器，设置目标代码段。
装载 SYSENTER_EIP_MSR 到 EIP 寄存器。设置目标指令；
将 SYSENTER_CS_MSR + 8 装载到 SS 寄存器，设置栈段；
装载 SYSENTER_ESP_MSR 到 ESP 寄存器，设置栈帧；
切换 Ring0。
清除 EFLAGS 的 VM 标志；（虚拟8086方式标志）
运行位于 EIP 处的 RING0 例程。

实验開始~

说了这么多理论，如今来实践一下咯：( 以 CreateFileW 函数为例 )

在虚拟机中运行 notepad.exe ，用 windbg 使断下

搜索 notepad.exe 进程：

2: kd> !process 0 0 notepad.exe

PROCESS 87b697c0  SessionId: 1  Cid: 0d10    Peb: 7ffdf000  ParentCid: 0474

    DirBase: 6612b000  ObjectTable: 931868f0  HandleCount:  61.

    Image: notepad.exe

我们得到了 notepad.exe 的进程首地址，如今转到他的进程空间：

2: kd> .process /i /p 87b697c0

You need to continue execution (press 'g' <enter>) for the context

to be switched. When the debugger breaks in again, you will be in

the new process context.

当中两个參数的含义：（注：此中文解释来自 http://www.dbgtech.net/windbghelp/。站长翻译了windbg的帮助文档，英语文盲的福音）

/i

(Windows XP 和之后的系统；仅活动调试；非本地内核调试) 指定要侵入(invasively)调试Process 。这样的调试意味着目标机上的操作系统实际上将指定的进程激活。

(假设不带该參数。.process 命令改变调试器的输出，可是不会作用于目标机本身。

)假设使用了 /i，必须使用g (Go)命令来运行目标。

数秒之后，目标会再次中断到调试器中。而且指定的 Process 被激活并用作当前进程上下文。

/p

假设使用了/p 而且Process 非0。在訪问之前将该进程全部页表入口(PTE)转换成物理地址。

这样的转换可能造成速度变慢，由于调试器必须找到该进程使用的全部内存的物理地址。调试器也须要通过调试电缆传输大量数据。

(该行为和.cache forcedecodeuser一样。

)

假设包括/p 而且Process为0或者省略，则禁用这样的转换。

(这样的行为和.cache noforcedecodeptes一样。)

上面提示我们说要运行一下才干切换上下文，那么 g 一下

2: kd> g

Break instruction exception - code 80000003 (first chance)

nt!RtlpBreakWithStatusInstruction:

8406dd00 cc              int     3

如今我们就断在了 notepad.exe 的进程里

如今又一次载入一下符号表

2: kd> .reload /f /user

Loading User Symbols

.

DBGHELP: notepad - public symbols

        f:\program files\nt_dbg_symbols\notepad.pdb\E325F5195AE94FAEB58D25C9DF8C0CFD2\notepad.pdb

.

DBGHELP: f:\program files\nt_dbg_symbols\ntdll.dll\4CE7B96E13c000\ntdll.dll - OK

DBGENG:  Partial symbol load found image f:\program files\nt_dbg_symbols\ntdll.dll\4CE7B96E13c000\ntdll.dll.

DBGHELP: ntdll - public symbols

        f:\program files\nt_dbg_symbols\ntdll.pdb\120028FA453F4CD5A6A404EC37396A582\ntdll.pdb

.

DBGHELP: f:\program files\nt_dbg_symbols\kernel32.dll\4CE7B8EFd4000\kernel32.dll - OK

DBGENG:  Partial symbol load found image f:\program files\nt_dbg_symbols\kernel32.dll\4CE7B8EFd4000\kernel32.dll.

DBGHELP: kernel32 - public symbols

        f:\program files\nt_dbg_symbols\kernel32.pdb\D4AC3906D49D487B9F69F9326A7D206A2\kernel32.pdb

.

DBGHELP: f:\program files\nt_dbg_symbols\KERNELBASE.dll\4CE7B8F04a000\KERNELBASE.dll - OK

DBGENG:  Partial symbol load found image f:\program files\nt_dbg_symbols\KERNELBASE.dll\4CE7B8F04a000\KERNELBASE.dll.

DBGHELP: KERNELBASE - public symbols

        f:\program files\nt_dbg_symbols\kernelbase.pdb\F50B25D282504188B73063D653B7D27E2\kernelbase.pdb

.

DBGHELP: f:\program files\nt_dbg_symbols\ADVAPI32.dll\4CE7B706a0000\ADVAPI32.dll - OK

DBGENG:  Partial symbol load found image f:\program files\nt_dbg_symbols\ADVAPI32.dll\4CE7B706a0000\ADVAPI32.dll.

DBGHELP: ADVAPI32 - public symbols

        f:\program files\nt_dbg_symbols\advapi32.pdb\3F32049F550C42B09CF114A1FB8A97E92\advapi32.pdb

.

DBGHELP: msvcrt - public symbols

        f:\program files\nt_dbg_symbols\msvcrt.pdb\6EC79267530C45188F2A816AD59DBBF92\msvcrt.pdb

.

DBGHELP: sechost - public symbols

        f:\program files\nt_dbg_symbols\sechost.pdb\7AF14D02D41E4CD6942745FE0E6372B11\sechost.pdb

.

DBGHELP: RPCRT4 - public symbols

        f:\program files\nt_dbg_symbols\rpcrt4.pdb\189CC56E2D4A43DA8A269E088721F13D2\rpcrt4.pdb

.

DBGHELP: GDI32 - public symbols

        f:\program files\nt_dbg_symbols\gdi32.pdb\96948E513A8747C58A699B8A7009DCB22\gdi32.pdb

.

DBGHELP: f:\program files\nt_dbg_symbols\USER32.dll\4CE7BA26c9000\USER32.dll - OK

DBGENG:  Partial symbol load found image f:\program files\nt_dbg_symbols\USER32.dll\4CE7BA26c9000\USER32.dll.

DBGHELP: USER32 - public symbols

        f:\program files\nt_dbg_symbols\user32.pdb\DD74D86F12624845A42A6A5BAAB4D7A82\user32.pdb

.

DBGHELP: LPK - public symbols

        f:\program files\nt_dbg_symbols\lpk.pdb\B99319FE4427418F9EB5432B9F6A13412\lpk.pdb

.

DBGHELP: USP10 - public symbols

        f:\program files\nt_dbg_symbols\usp10.pdb\F49786E2C7C54EA99E7C37120CDAEB9C1\usp10.pdb

.

DBGHELP: f:\program files\nt_dbg_symbols\COMDLG32.dll\4CE7B82D7b000\COMDLG32.dll - OK

DBGENG:  Partial symbol load found image f:\program files\nt_dbg_symbols\COMDLG32.dll\4CE7B82D7b000\COMDLG32.dll.

DBGHELP: COMDLG32 - public symbols

        f:\program files\nt_dbg_symbols\comdlg32.pdb\96BC483CDFF04D1AAFE462F093B954EC2\comdlg32.pdb

.

DBGHELP: SHLWAPI - public symbols

        f:\program files\nt_dbg_symbols\shlwapi.pdb\E128B1CEE2EB438C8646E6967118F33E2\shlwapi.pdb

.

DBGHELP: COMCTL32 - public symbols

        f:\program files\nt_dbg_symbols\comctl32.pdb\B4CE90AAB95E4B89A22A7711DFD7E6EF2\comctl32.pdb

.

DBGHELP: f:\program files\nt_dbg_symbols\SHELL32.dll\4CE7B9DEc4a000\SHELL32.dll - OK

DBGENG:  Partial symbol load found image f:\program files\nt_dbg_symbols\SHELL32.dll\4CE7B9DEc4a000\SHELL32.dll.

DBGHELP: SHELL32 - public symbols

        f:\program files\nt_dbg_symbols\shell32.pdb\4555A5FB02FA4E49B65A25616CD97A6B2\shell32.pdb

.

DBGHELP: f:\program files\nt_dbg_symbols\WINSPOOL.DRV\4CE7BA4B51000\WINSPOOL.DRV - OK

DBGENG:  Partial symbol load found image f:\program files\nt_dbg_symbols\WINSPOOL.DRV\4CE7BA4B51000\WINSPOOL.DRV.

DBGHELP: WINSPOOL - public symbols

        f:\program files\nt_dbg_symbols\winspool.pdb\B165BBE7CD8C4F39BE373C0D9DFCD77B2\winspool.pdb

.

DBGHELP: f:\program files\nt_dbg_symbols\ole32.dll\4CE7B96F15c000\ole32.dll - OK

DBGENG:  Partial symbol load found image f:\program files\nt_dbg_symbols\ole32.dll\4CE7B96F15c000\ole32.dll.

DBGHELP: ole32 - public symbols

        f:\program files\nt_dbg_symbols\ole32.pdb\5061F11A9A57433595EA5EA75A156F4B2\ole32.pdb

.

DBGHELP: f:\program files\nt_dbg_symbols\OLEAUT32.dll\4CE7B9728f000\OLEAUT32.dll - OK

DBGENG:  Partial symbol load found image f:\program files\nt_dbg_symbols\OLEAUT32.dll\4CE7B9728f000\OLEAUT32.dll.

DBGHELP: OLEAUT32 - public symbols

        f:\program files\nt_dbg_symbols\oleaut32.pdb\312BF231E76A450ABF027EBFB52FA2162\oleaut32.pdb

.

DBGHELP: VERSION - public symbols

        f:\program files\nt_dbg_symbols\version.pdb\52234E5C7EC44646B62D56357B2C94872\version.pdb

.

DBGHELP: IMM32 - public symbols

        f:\program files\nt_dbg_symbols\imm32.pdb\91A0004474E24AA89F185029E31144892\imm32.pdb

.

DBGHELP: MSCTF - public symbols

        f:\program files\nt_dbg_symbols\msctf.pdb\173DAEF86B2548DBA6134EB74C4D2F232\msctf.pdb

.

DBGHELP: CRYPTBASE - public symbols

        f:\program files\nt_dbg_symbols\cryptbase.pdb\E62FEAE559EE4CD995614215B01AC2102\cryptbase.pdb

.

DBGHELP: uxtheme - public symbols

        f:\program files\nt_dbg_symbols\UxTheme.pdb\5BECAB35E7714835A6BF3DADD891BB3A2\UxTheme.pdb

.

DBGHELP: dwmapi - public symbols

        f:\program files\nt_dbg_symbols\dwmapi.pdb\D8D91B3F339A4FDC960FC7121D146DF42\dwmapi.pdb

当中參数含义：

/f（马上载入）

Forces the debugger to immediately load the symbols. This parameter overrides lazy symbol loading. For more information, see the following

Remarks section.

/user （仅仅载入用户符号）

Reloads user symbols only. (You can use this option only during kernel-mode debugging.)

我之前下载了一个完整版的。全部基本都是本地载入。

假设没有而且网速又慢。。。

能够等到 kernel 等 pdb 下载过后按Ctrl + C终止。不然就要等到天荒地老。

。。

。

如今保证了符号已经没问题，就能够开心的继续咯。直到如今我们才真正開始…….

由于我们要观察 CreateFileW ，我们就在这个函数下断点

2: kd> bp kernel32!CreateFileW

为了放心。看一下断点列表：

2: kd> bl

 0 e 759ecca9     0001 (0001) kernel32!CreateFileW

我们如今继续运行：

2: kd> g

Breakpoint 0 hit

kernel32!CreateFileW:

001b:759ecca9 ff25e0199a75    jmp     dword ptr [kernel32!_imp__CreateFileW (759a19e0)]

进程断在了这里。

单步一次进入jmp的函数内部：

3: kd> t

KERNELBASE!CreateFileW:

001b:7574a850 8bff            mov     edi,edi

以函数地址開始反汇编100条：

3: kd> u KERNELBASE!CreateFileW l100

KERNELBASE!CreateFileW:

7574a850 8bff            mov     edi,edi

7574a852 55              push    ebp

7574a853 8bec            mov     ebp,esp

7574a855 8b4518          mov     eax,dword ptr [ebp+18h]

7574a858 83ec64          sub     esp,64h

7574a85b 48              dec     eax

7574a85c 0f8499e5ffff    je      KERNELBASE!CreateFileW+0x57 (75748dfb)

7574a862 48              dec     eax

7574a863 0f8468360000    je      KERNELBASE!CreateFileW+0x4e (7574ded1)

7574a869 48              dec     eax

7574a86a 0f8579360000    jne     KERNELBASE!CreateFileW+0x14 (7574dee9)

7574a870 c745fc01000000  mov     dword ptr [ebp-4],1

7574a877 53              push    ebx

7574a878 56              push    esi

7574a879 8b7508          mov     esi,dword ptr [ebp+8]

7574a87c 56              push    esi

7574a87d 8d45d8          lea     eax,[ebp-28h]

7574a880 50              push    eax

7574a881 ff15fc117475    call    dword ptr [KERNELBASE!_imp__RtlInitUnicodeStringEx (757411fc)]

7574a887 33db            xor     ebx,ebx

7574a889 3bc3            cmp     eax,ebx

7574a88b 0f8ce46a0000    jl      KERNELBASE!CreateFileW+0xc0 (75751375)

7574a891 33c0            xor     eax,eax

7574a893 40              inc     eax

7574a894 663945d8        cmp     word ptr [ebp-28h],ax

7574a898 7611            jbe     KERNELBASE!CreateFileW+0x8e (7574a8ab)

7574a89a 0fb74dd8        movzx   ecx,word ptr [ebp-28h]

7574a89e d1e9            shr     ecx,1

7574a8a0 66837c4efe5c    cmp     word ptr [esi+ecx*2-2],5Ch

7574a8a6 8945ec          mov     dword ptr [ebp-14h],eax

7574a8a9 7403            je      KERNELBASE!CreateFileW+0x91 (7574a8ae)

7574a8ab 895dec          mov     dword ptr [ebp-14h],ebx

7574a8ae 8d45b4          lea     eax,[ebp-4Ch]

7574a8b1 50              push    eax

7574a8b2 53              push    ebx

7574a8b3 8d45d8          lea     eax,[ebp-28h]

7574a8b6 50              push    eax

7574a8b7 56              push    esi

7574a8b8 895d08          mov     dword ptr [ebp+8],ebx

7574a8bb ff15fc137475    call    dword ptr [KERNELBASE!_imp__RtlDosPathNameToRelativeNtPathName_U_WithStatus (757413fc)]

7574a8c1 3bc3            cmp     eax,ebx

7574a8c3 0f8c73750100    jl      KERNELBASE!CreateFileW+0xa8 (75761e3c)

7574a8c9 8b45dc          mov     eax,dword ptr [ebp-24h]

7574a8cc 8945f0          mov     dword ptr [ebp-10h],eax

7574a8cf 8b45b4          mov     eax,dword ptr [ebp-4Ch]

7574a8d2 663bc3          cmp     ax,bx

7574a8d5 0f851c390000    jne     KERNELBASE!CreateFileW+0xdc (7574e1f7)

7574a8db 895dbc          mov     dword ptr [ebp-44h],ebx

7574a8de 8b45bc          mov     eax,dword ptr [ebp-44h]

7574a8e1 8b551c          mov     edx,dword ptr [ebp+1Ch]

7574a8e4 8945a0          mov     dword ptr [ebp-60h],eax

7574a8e7 8d45d8          lea     eax,[ebp-28h]

7574a8ea 8bca            mov     ecx,edx

7574a8ec c1e912          shr     ecx,12h

7574a8ef 8945a4          mov     dword ptr [ebp-5Ch],eax

7574a8f2 8bc2            mov     eax,edx

7574a8f4 f7d1            not     ecx

7574a8f6 83e140          and     ecx,40h

7574a8f9 2500001f00      and     eax,1F0000h

7574a8fe c7459c18000000  mov     dword ptr [ebp-64h],18h

7574a905 894da8          mov     dword ptr [ebp-58h],ecx

7574a908 895dac          mov     dword ptr [ebp-54h],ebx

7574a90b a900001000      test    eax,100000h

7574a910 0f85eb420000    jne     KERNELBASE!CreateFileW+0x11e (7574ec01)

7574a916 c645cc01        mov     byte ptr [ebp-34h],1

7574a91a c745c802000000  mov     dword ptr [ebp-38h],2

7574a921 c645cd01        mov     byte ptr [ebp-33h],1

7574a925 8d45c4          lea     eax,[ebp-3Ch]

7574a928 8945b0          mov     dword ptr [ebp-50h],eax

7574a92b 8b4514          mov     eax,dword ptr [ebp+14h]

7574a92e c745c40c000000  mov     dword ptr [ebp-3Ch],0Ch

7574a935 3bc3            cmp     eax,ebx

7574a937 0f85493a0000    jne     KERNELBASE!CreateFileW+0x178 (7574e386)

7574a93d 57              push    edi

7574a93e 895d14          mov     dword ptr [ebp+14h],ebx

7574a941 895df4          mov     dword ptr [ebp-0Ch],ebx

7574a944 395d20          cmp     dword ptr [ebp+20h],ebx

7574a947 0f8586710000    jne     KERNELBASE!CreateFileW+0x199 (75751ad3)

7574a94d 8bf2            mov     esi,edx

7574a94f c1ee04          shr     esi,4

7574a952 b800000008      mov     eax,8000000h

7574a957 23f0            and     esi,eax

7574a959 8bfa            mov     edi,edx

7574a95b 81e700000020    and     edi,20000000h

7574a961 0bf7            or      esi,edi

7574a963 d1ee            shr     esi,1

7574a965 8bfa            mov     edi,edx

7574a967 23f8            and     edi,eax

7574a969 0bf7            or      esi,edi

7574a96b c1ee08          shr     esi,8

7574a96e 8bc2            mov     eax,edx

7574a970 2500000010      and     eax,10000000h

7574a975 0bf0            or      esi,eax

7574a977 c1ee06          shr     esi,6

7574a97a 8bca            mov     ecx,edx

7574a97c 8bc2            mov     eax,edx

7574a97e c1e819          shr     eax,19h

7574a981 81e100000002    and     ecx,2000000h

7574a987 0bf1            or      esi,ecx

7574a989 f7d0            not     eax

7574a98b c1ee0b          shr     esi,0Bh

7574a98e 83e020          and     eax,20h

7574a991 0bf0            or      esi,eax

7574a993 097508          or      dword ptr [ebp+8],esi

7574a996 f7c200000004    test    edx,4000000h

7574a99c 0f85644a0000    jne     KERNELBASE!CreateFileW+0x28b (7574f406)

7574a9a2 b800002000      mov     eax,200000h

7574a9a7 85d0            test    eax,edx

7574a9a9 0f85013b0000    jne     KERNELBASE!CreateFileW+0x2a2 (7574e4b0)

7574a9af f7c200001000    test    edx,100000h

7574a9b5 0f8572420000    jne     KERNELBASE!CreateFileW+0x2ad (7574ec2d)

7574a9bb 3bcb            cmp     ecx,ebx

7574a9bd 0f8531caffff    jne     KERNELBASE!CreateFileW+0x2ed (757473f4)

7574a9c3 834d0840        or      dword ptr [ebp+8],40h

7574a9c7 6a01            push    1

7574a9c9 6814a87475      push    offset KERNELBASE!g_SbModuleTable_Scenario (7574a814)

7574a9ce 6a01            push    1

7574a9d0 68abababab      push    0ABABABABh

7574a9d5 e863feffff      call    KERNELBASE!SbSelectProcedure (7574a83d)

7574a9da 3bc3            cmp     eax,ebx

7574a9dc 7406            je      KERNELBASE!CreateFileW+0x321 (7574a9e4)

7574a9de 8d4d08          lea     ecx,[ebp+8]

7574a9e1 51              push    ecx

7574a9e2 ffd0            call    eax

7574a9e4 ff75f4          push    dword ptr [ebp-0Ch]

7574a9e7 8b4d1c          mov     ecx,dword ptr [ebp+1Ch]

7574a9ea ff7514          push    dword ptr [ebp+14h]

7574a9ed 8b450c          mov     eax,dword ptr [ebp+0Ch]

7574a9f0 ff7508          push    dword ptr [ebp+8]

7574a9f3 8b35b0107475    mov     esi,dword ptr [KERNELBASE!_imp__NtCreateFile (757410b0)]

7574a9f9 ff75fc          push    dword ptr [ebp-4]

7574a9fc 81e1a77f0000    and     ecx,7FA7h

7574aa02 ff7510          push    dword ptr [ebp+10h]

7574aa05 894d1c          mov     dword ptr [ebp+1Ch],ecx

7574aa08 51              push    ecx

7574aa09 53              push    ebx

7574aa0a 8d4de0          lea     ecx,[ebp-20h]

7574aa0d 51              push    ecx

7574aa0e 0d80001000      or      eax,100080h

7574aa13 8d4d9c          lea     ecx,[ebp-64h]

7574aa16 51              push    ecx

7574aa17 50              push    eax

7574aa18 89450c          mov     dword ptr [ebp+0Ch],eax

7574aa1b 8d45f8          lea     eax,[ebp-8]

7574aa1e 50              push    eax

7574aa1f ffd6            call    esi

7574aa21 8bd8            mov     ebx,eax

7574aa23 bf220000c0      mov     edi,0C0000022h

7574aa28 3bdf            cmp     ebx,edi

7574aa2a 0f8433690000    je      KERNELBASE!CreateFileW+0x369 (75751363)

7574aa30 8d45b4          lea     eax,[ebp-4Ch]

7574aa33 50              push    eax

7574aa34 ff15f4137475    call    dword ptr [KERNELBASE!_imp__RtlReleaseRelativeName (757413f4)]

7574aa3a ff75f0          push    dword ptr [ebp-10h]

7574aa3d 64a118000000    mov     eax,dword ptr fs:[00000018h]

7574aa43 8b4030          mov     eax,dword ptr [eax+30h]

7574aa46 8b3514107475    mov     esi,dword ptr [KERNELBASE!_imp__RtlFreeHeap (75741014)]

7574aa4c 33ff            xor     edi,edi

7574aa4e 57              push    edi

7574aa4f ff7018          push    dword ptr [eax+18h]

7574aa52 ffd6            call    esi

7574aa54 ff7514          push    dword ptr [ebp+14h]

7574aa57 64a118000000    mov     eax,dword ptr fs:[00000018h]

7574aa5d 8b4030          mov     eax,dword ptr [eax+30h]

7574aa60 57              push    edi

7574aa61 ff7018          push    dword ptr [eax+18h]

7574aa64 ffd6            call    esi

7574aa66 3bdf            cmp     ebx,edi

7574aa68 7c2f            jl      KERNELBASE!CreateFileW+0x3fe (7574aa99)

7574aa6a 837d1802        cmp     dword ptr [ebp+18h],2

7574aa6e 0f8469340000    je      KERNELBASE!CreateFileW+0x434 (7574dedd)

7574aa74 837d1804        cmp     dword ptr [ebp+18h],4

7574aa78 0f847e340000    je      KERNELBASE!CreateFileW+0x440 (7574defc)

7574aa7e 57              push    edi

7574aa7f ff1548107475    call    dword ptr [KERNELBASE!_imp__RtlSetLastWin32Error (75741048)]

7574aa85 837d1805        cmp     dword ptr [ebp+18h],5

7574aa89 0f8441d40100    je      KERNELBASE!CreateFileW+0x45a (75767ed0)

7574aa8f 8b45f8          mov     eax,dword ptr [ebp-8]

7574aa92 5f              pop     edi

7574aa93 5e              pop     esi

7574aa94 5b              pop     ebx

7574aa95 c9              leave

7574aa96 c21c00          ret     1Ch

7574aa99 53              push    ebx

7574aa9a e856c0ffff      call    KERNELBASE!BaseSetLastNTError (75746af5)

7574aa9f 81fb350000c0    cmp     ebx,0C0000035h

7574aaa5 0f844fa10000    je      KERNELBASE!CreateFileW+0x40c (75754bfa)

7574aaab 81fbba0000c0    cmp     ebx,0C00000BAh

7574aab1 0f8462a10000    je      KERNELBASE!CreateFileW+0x418 (75754c19)

7574aab7 83c8ff          or      eax,0FFFFFFFFh

7574aaba ebd6            jmp     KERNELBASE!CreateFileW+0x48f (7574aa92)

7574aabc 90              nop

7574aabd 90              nop

7574aabe 90              nop

7574aabf 90              nop

7574aac0 90              nop

KERNELBASE!AllocateAndInitializeSid:

7574aac1 8bff            mov     edi,edi

7574aac3 55              push    ebp

7574aac4 8bec            mov     ebp,esp

7574aac6 ff7530          push    dword ptr [ebp+30h]

7574aac9 ff752c          push    dword ptr [ebp+2Ch]

7574aacc ff7528          push    dword ptr [ebp+28h]

7574aacf ff7524          push    dword ptr [ebp+24h]

7574aad2 ff7520          push    dword ptr [ebp+20h]

7574aad5 ff751c          push    dword ptr [ebp+1Ch]

7574aad8 ff7518          push    dword ptr [ebp+18h]

7574aadb ff7514          push    dword ptr [ebp+14h]

7574aade ff7510          push    dword ptr [ebp+10h]

7574aae1 ff750c          push    dword ptr [ebp+0Ch]

7574aae4 ff7508          push    dword ptr [ebp+8]

7574aae7 ff1520137475    call    dword ptr [KERNELBASE!_imp__RtlAllocateAndInitializeSid (75741320)]

7574aaed 85c0            test    eax,eax

7574aaef 0f8c6d260200    jl      KERNELBASE!AllocateAndInitializeSid+0x30 (7576d162)

7574aaf5 33c0            xor     eax,eax

7574aaf7 40              inc     eax

7574aaf8 5d              pop     ebp

7574aaf9 c22c00          ret     2Ch

7574aafc 90              nop

7574aafd 90              nop

7574aafe 90              nop

7574aaff 90              nop

7574ab00 90              nop

KERNELBASE!FreeSid:

7574ab01 8bff            mov     edi,edi

7574ab03 55              push    ebp

7574ab04 8bec            mov     ebp,esp

7574ab06 5d              pop     ebp

7574ab07 ff2508137475    jmp     dword ptr [KERNELBASE!_imp__RtlFreeSid (75741308)]

7574ab0d 90              nop

7574ab0e 90              nop

7574ab0f 90              nop

7574ab10 90              nop

7574ab11 90              nop

KERNELBASE!DuplicateTokenEx:

7574ab12 8bff            mov     edi,edi

7574ab14 55              push    ebp

7574ab15 8bec            mov     ebp,esp

7574ab17 83ec24          sub     esp,24h

7574ab1a 8b4514          mov     eax,dword ptr [ebp+14h]

7574ab1d 8945f8          mov     dword ptr [ebp-8],eax

7574ab20 8b4510          mov     eax,dword ptr [ebp+10h]

7574ab23 c745f40c000000  mov     dword ptr [ebp-0Ch],0Ch

7574ab2a c645fc01        mov     byte ptr [ebp-4],1

7574ab2e c645fd00        mov     byte ptr [ebp-3],0

7574ab32 85c0            test    eax,eax

7574ab34 0f858cc40000    jne     KERNELBASE!DuplicateTokenEx+0x24 (75756fc6)

7574ab3a 33c9            xor     ecx,ecx

7574ab3c 33c0            xor     eax,eax

7574ab3e ff751c          push    dword ptr [ebp+1Ch]

7574ab41 8365e000        and     dword ptr [ebp-20h],0

7574ab45 ff7518          push    dword ptr [ebp+18h]

7574ab48 8365e400        and     dword ptr [ebp-1Ch],0

7574ab4c 8945e8          mov     dword ptr [ebp-18h],eax

7574ab4f 8d45f4          lea     eax,[ebp-0Ch]

7574ab52 6a00            push    0

7574ab54 8945f0          mov     dword ptr [ebp-10h],eax

7574ab57 8d45dc          lea     eax,[ebp-24h]

7574ab5a 50              push    eax

100条仅仅是測试，看有没有得到完整的 CreateFileW 函数的反汇编。非常明显这里面的后半部分是 KERNELBASE!AllocateAndInitializeSid 的代码。所以我们仅仅关注上半部分。

先从 call 语句逐条来看：

从上往下各自是

7574a881 ff15fc117475    call    dword ptr [KERNELBASE!_imp__RtlInitUnicodeStringEx (757411fc)]

7574a8bb ff15fc137475    call    dword ptr [KERNELBASE!_imp__RtlDosPathNameToRelativeNtPathName_U_WithStatus (757413fc)]

7574a9d5 e863feffff      call    KERNELBASE!SbSelectProcedure (7574a83d)

7574aa1f ffd6            call    esi

这一条 esi ，所以须要往上看 esi 的值是什么，于是：（新大陆~~）

7574a9f3 8b35b0107475    mov     esi,dword ptr [KERNELBASE!_imp__NtCreateFile (757410b0)]

我们知道 CreateFileW 内部的函数确实是 NtCreateFile。

那么我们就在 call esi 处下断点：

3: kd> bp 7574aa1f

3: kd> bl

 0 e 759ecca9     0001 (0001) kernel32!CreateFileW

 1 e 7574aa1f     0001 (0001) KERNELBASE!CreateFileW+0x35c

运行：

3: kd> g

Breakpoint 1 hit

KERNELBASE!CreateFileW+0x35c:

001b:7574aa1f ffd6            call    esi

单步进入：

3: kd> t

ntdll!NtCreateFile:

001b:774d55c8 b842000000      mov     eax,42h

如今我们就来到了 ntdll 中的 NtCreateFile 函数中了。

当前地址反汇编：

3: kd> u

ntdll!NtCreateFile:

774d55c8 b842000000      mov     eax,42h

774d55cd ba0003fe7f      mov     edx,offset SharedUserData!SystemCallStub (7ffe0300)

774d55d2 ff12            call    dword ptr [edx]

774d55d4 c22c00          ret     2Ch

774d55d7 90              nop

ntdll!NtCreateIoCompletion:

774d55d8 b843000000      mov     eax,43h

774d55dd ba0003fe7f      mov     edx,offset SharedUserData!SystemCallStub (7ffe0300)

774d55e2 ff12            call    dword ptr [edx]

如今正处在过渡的关键时刻！就要用到之前的理论知识了。忘了？再来：

假设想要从 Ring3 层进入 Ring0 层，

系统首先会将要调用的系统调用号（SSDT调用号）放入 EAX 中，
然后将当前栈指针 ESP 的内容放入 EDX 中后运行SYSENTER 指令；
SYSENTER 被运行后会将控制权传递给特殊模块寄存器IA32_SYSENTER_EIP 所指向的函数中，完毕兴许操作。

如今地址 774d55c8 处就是“将要调用的系统调用号（SSDT调用号）放入 EAX 中”。啥？什么是 SSDT 调用号？如今我们能够觉得系统函数的地址都放在一个大数组里面，仅仅要知道一个索引。就能依据它找到函数地址从而调用。

如今单步三次进入call的函数内部：

3: kd> t

ntdll!NtCreateFile+0x5:

001b:774d55cd ba0003fe7f      mov     edx,offset SharedUserData!SystemCallStub (7ffe0300)

3: kd> t

ntdll!NtCreateFile+0xa:

001b:774d55d2 ff12            call    dword ptr [edx]

3: kd> t

ntdll!KiFastSystemCall:

001b:774d70b0 8bd4            mov     edx,esp

反汇编：

3: kd> u

ntdll!KiFastSystemCall:

774d70b0 8bd4            mov     edx,esp

774d70b2 0f34            sysenter

ntdll!KiFastSystemCallRet:

774d70b4 c3              ret

774d70b5 8da42400000000  lea     esp,[esp]

774d70bc 8d642400        lea     esp,[esp]

ntdll!KiIntSystemCall:

774d70c0 8d542408        lea     edx,[esp+8]

774d70c4 cd2e            int     2Eh

774d70c6 c3              ret

774d70b0 反地址处就是 “将当前栈指针 ESP 的内容放入 EDX ”的操作

以下一句当然就是 “运行SYSENTER 指令”咯。

主要的流程已经验证，那我们来找一下SSDT数组的基址。

so，我们如今的情况是：

EAX：SSDT 调用号（当前是 0x42）

EDX：ESP 的内容

我们又知道 SYSENTER_EIP_MSR 在偏移 0x176 处，功能：切换到 Ring0 层之后的 EIP，设置目标指令。

查看一下 SYSENTER_EIP_MSR 的内容：

3: kd> rdmsr 176

msr[176] = 00000000`8404a750

所以目标指令就在 00000000`8404a750 处。

我们就在这里下个条件断点（由于sysenter仅仅是一条指令并不是函数，直接t会跳过。在用户态的代码运行了SYSENTER指令之后，处理器中的控制单元将寄存器MSR_IA32_SYSENTER_EIP的值装载到指令指针寄存器eip中）。假设断在这里时 SSDT调用号也为0x42，那么就断下来，否则继续运行

3: kd> bp 8404a750 ".if (@eax & 0x0'ffffffff)=0x0'42 {} .else {gc}"

3: kd> bl

 0 e 759ecca9     0001 (0001) kernel32!CreateFileW

 1 e 7574aa1f     0001 (0001) KERNELBASE!CreateFileW+0x35c

 2 e 8404a750     0001 (0001) nt!KiFastCallEntry ".if (@eax & 0x0'ffffffff)=0x0'42 {}

关于 gc：（从条件断点处继续运行）

The gc command resumes execution from a conditional breakpoint in the same fashion that was used to hit the breakpoint (stepping, tracing, or freely executing).

运行：

3: kd> g

Syntax error at ''ffffffff)=0x0'42 {} .else {gc}'

nt!KiFastCallEntry:

8404a750 b923000000      mov     ecx,23h

（此时 SYSENTER 的切换操作已经完毕大部分）

反汇编来一套：

3: kd> u nt!KiFastCallEntry l50

nt!KiFastCallEntry:

8404a750 b923000000      mov     ecx,23h

8404a755 6a30            push    30h

8404a757 0fa1            pop     fs

8404a759 8ed9            mov     ds,cx

8404a75b 8ec1            mov     es,cx

8404a75d 648b0d40000000  mov     ecx,dword ptr fs:[40h]

8404a764 8b6104          mov     esp,dword ptr [ecx+4]

8404a767 6a23            push    23h

8404a769 52              push    edx

8404a76a 9c              pushfd

8404a76b 6a02            push    2

8404a76d 83c208          add     edx,8

8404a770 9d              popfd

8404a771 804c240102      or      byte ptr [esp+1],2

8404a776 6a1b            push    1Bh

8404a778 ff350403dfff    push    dword ptr ds:[0FFDF0304h]

8404a77e 6a00            push    0

8404a780 55              push    ebp

8404a781 53              push    ebx

8404a782 56              push    esi

8404a783 57              push    edi

8404a784 648b1d1c000000  mov     ebx,dword ptr fs:[1Ch]

8404a78b 6a3b            push    3Bh

8404a78d 8bb324010000    mov     esi,dword ptr [ebx+124h]

8404a793 ff33            push    dword ptr [ebx]

8404a795 c703ffffffff    mov     dword ptr [ebx],0FFFFFFFFh

8404a79b 8b6e28          mov     ebp,dword ptr [esi+28h]

8404a79e 6a01            push    1

8404a7a0 83ec48          sub     esp,48h

8404a7a3 81ed9c020000    sub     ebp,29Ch

8404a7a9 c6863a01000001  mov     byte ptr [esi+13Ah],1

8404a7b0 3bec            cmp     ebp,esp

8404a7b2 7597            jne     nt!KiFastCallEntry2+0x49 (8404a74b)

8404a7b4 83652c00        and     dword ptr [ebp+2Ch],0

8404a7b8 f64603df        test    byte ptr [esi+3],0DFh

8404a7bc 89ae28010000    mov     dword ptr [esi+128h],ebp

8404a7c2 0f8538feffff    jne     nt!Dr_FastCallDrSave (8404a600)

8404a7c8 8b5d60          mov     ebx,dword ptr [ebp+60h]

8404a7cb 8b7d68          mov     edi,dword ptr [ebp+68h]

8404a7ce 89550c          mov     dword ptr [ebp+0Ch],edx

8404a7d1 c74508000ddbba  mov     dword ptr [ebp+8],0BADB0D00h

8404a7d8 895d00          mov     dword ptr [ebp],ebx

8404a7db 897d04          mov     dword ptr [ebp+4],edi

8404a7de fb              sti

8404a7df 8bf8            mov     edi,eax

8404a7e1 c1ef08          shr     edi,8

8404a7e4 83e710          and     edi,10h

8404a7e7 8bcf            mov     ecx,edi

8404a7e9 03bebc000000    add     edi,dword ptr [esi+0BCh]

8404a7ef 8bd8            mov     ebx,eax

8404a7f1 25ff0f0000      and     eax,0FFFh

8404a7f6 3b4708          cmp     eax,dword ptr [edi+8]

8404a7f9 0f8333fdffff    jae     nt!KiBBTUnexpectedRange (8404a532)

8404a7ff 83f910          cmp     ecx,10h

8404a802 751a            jne     nt!KiFastCallEntry+0xce (8404a81e)

8404a804 8b8e88000000    mov     ecx,dword ptr [esi+88h]

8404a80a 33f6            xor     esi,esi

8404a80c 0bb1700f0000    or      esi,dword ptr [ecx+0F70h]

8404a812 740a            je      nt!KiFastCallEntry+0xce (8404a81e)

8404a814 52              push    edx

8404a815 50              push    eax

8404a816 ff152c581784    call    dword ptr [nt!KeGdiFlushUserBatch (8417582c)]

8404a81c 58              pop     eax

8404a81d 5a              pop     edx

8404a81e 64ff05b0060000  inc     dword ptr fs:[6B0h]

8404a825 8bf2            mov     esi,edx

8404a827 33c9            xor     ecx,ecx

8404a829 8b570c          mov     edx,dword ptr [edi+0Ch]

8404a82c 8b3f            mov     edi,dword ptr [edi]

8404a82e 8a0c10          mov     cl,byte ptr [eax+edx]

8404a831 8b1487          mov     edx,dword ptr [edi+eax*4]

8404a834 2be1            sub     esp,ecx

8404a836 c1e902          shr     ecx,2

8404a839 8bfc            mov     edi,esp

8404a83b 3b3504571784    cmp     esi,dword ptr [nt!MmUserProbeAddress (84175704)]

8404a841 0f832e020000    jae     nt!KiSystemCallExit2+0xa5 (8404aa75)

8404a847 f3a5            rep movs dword ptr es:[edi],dword ptr [esi]

8404a849 f6456c01        test    byte ptr [ebp+6Ch],1

8404a84d 7416            je      nt!KiFastCallEntry+0x115 (8404a865)

8404a84f 648b0d24010000  mov     ecx,dword ptr fs:[124h]

在这段代码里面系统须要依据 SSDT调用号找到所在的地址，所以必须回出现 EAX*4 这个字眼，果然。我们就在这里发现了它。

8404a831 8b1487          mov     edx,dword ptr [edi+eax*4]

那么 edi 必须就是 SSDT大数组的起始地址。

我们须要找到它是在哪里被赋值的。

往上发现：

8404a82c 8b3f            mov     edi,dword ptr [edi]

往上找 edi：

8404a7df 8bf8            mov     edi,eax

8404a7e1 c1ef08          shr     edi,8

8404a7e4 83e710          and     edi,10h

8404a7e7 8bcf            mov     ecx,edi

8404a7e9 03bebc000000    add     edi,dword ptr [esi+0BCh]

往上找 esi：

8404a78d 8bb324010000    mov     esi,dword ptr [ebx+124h]

往上找 ebx：

8404a784 648b1d1c000000  mov     ebx,dword ptr fs:[1Ch]

我们知道 fs寄存器是专门指向 TEB 结构的。

fs:[1ch] 处：EnvironmentPointer：环境指针。

那么我们在 8404a831 处（mov edx,dword ptr [edi+eax*4]）下断点。

3: kd> bp 8404a831

3: kd> bl

 0 e 759ecca9     0001 (0001) kernel32!CreateFileW

 1 e 7574aa1f     0001 (0001) KERNELBASE!CreateFileW+0x35c

 2 e 8404a750     0001 (0001) nt!KiFastCallEntry ".if (@eax & 0x0'ffffffff)=0x0'42 {} .else {gc}"

 3 e 8404a831     0001 (0001) nt!KiFastCallEntry+0xe1

运行：

3: kd> g

Breakpoint 3 hit

nt!KiFastCallEntry+0xe1:

8404a831 8b1487          mov     edx,dword ptr [edi+eax*4]

看一下此时 edi 的值（数组基址）

3: kd> r edi

edi=8407173c

此地址的内容：

3: kd> dd edi

8407173c  8424fa7a 8409ff84 84287e50 840cbb2e

8407174c  8426a1c1 8410b9d2 842f6d4d 842f6d96

8407175c  84273c93 84310424 8431167d 841e1f06

8407176c  84281082 842ea209 842728cb 8426e15a

8407177c  841a352d 842dc3de 841e7f2a 8421fe43

8407178c  84265890 841e00e9 84233141 8427ba08

8407179c  84273989 841fd65f 84273769 8423cfc0

840717ac  84274833 842d743f 842557da 842474a0

全部都是一些以 84 开头的地址

曾经两个为例，反汇编看一下：

3: kd> u 8407173c

nt!KiServiceTable:（SSDT首地址）

8407173c 7afa            jp      nt!KeFlushMultipleRangeTb+0x2e9 (84071738)

8407173e 2484            and     al,84h

84071740 84ff            test    bh,bh

84071742 0984507e28842e  or      dword ptr [eax+edx*2+2E84287Eh],eax

84071749 bb0c84c1a1      mov     ebx,0A1C1840Ch

8407174e 2684d2          test    dl,dl

84071751 b910844d6d      mov     ecx,6D4D8410h

84071756 2f              das

3: kd> u 8424fa7a

nt!NtAcceptConnectPort:（第一个函数）

8424fa7a 8bff            mov     edi,edi

8424fa7c 55              push    ebp

8424fa7d 8bec            mov     ebp,esp

8424fa7f 64a124010000    mov     eax,dword ptr fs:[00000124h]

8424fa85 66ff8884000000  dec     word ptr [eax+84h]

8424fa8c 56              push    esi

8424fa8d 57              push    edi

8424fa8e 6a01            push    1

you know it. :)

从 NtCreateFile 函数中開始后的流程大致为：

[SharedUserData!SystemCallStub]=ntdll!KiFastSystemCall
sysenter
nt!KiFastCallEntry
查找调用号在SSDT的地址

最后再来回想一下 ring3-ring0 的步骤：

1. 系统首先会将要调用的系统调用号（SSDT调用号）放入 EAX 中。

2. 然后将当前栈指针 ESP 的内容放入 EDX 中后运行SYSENTER 指令；

3. SYSENTER 被运行后会将控制权传递给特殊模块寄存器 IA32_SYSENTER_EIP 所指向的函数中，完毕兴许操作。

写完这个流水账之后发现了这篇文章《重要》从用户模式切换到内核模式的完整过程分析。解说的更为清晰透彻。

我等文笔什么时候才干达成这样的成就。:(

跟踪 Ring3 - Ring0 的运行流程的更多相关文章

vc++深入跟踪MFC程序的执行流程
在MFC程序设计的学习过程中最令人感到难受,甚至于有时会动摇学习者信心的就是一种对于程序的一切细节都没有控制权的感觉.这种感觉来源于学习者不知道一个MFC程序是如何运行起来的(即一个MFC程序的执行流 ...
Spark学习之路（七）Spark 运行流程
一.Spark中的基本概念 (1)Application:表示你的应用程序 (2)Driver:表示main()函数,创建SparkContext.由SparkContext负责与ClusterMan ...
深入跟踪MFC程序的执行流程
来源: http://blog.csdn.net/ljianhui/article/details/8781991 在MFC程序设计的学习过程中最令人感到难受,甚至于有时会动摇学习者信心的就是一种对于 ...
宜信开源|分布式任务调度平台SIA-TASK的架构设计与运行流程
一.分布式任务调度的背景无论是互联网应用或者企业级应用,都充斥着大量的批处理任务.我们常常需要一些任务调度系统来帮助解决问题.随着微服务化架构的逐步演进,单体架构逐渐演变为分布式.微服务架构.在此背 ...
Spark学习之路（七）Spark 运行流程[转]
Spark中的基本概念 (1)Application:表示你的应用程序 (2)Driver:表示main()函数,创建SparkContext.由SparkContext负责与ClusterManag ...
react-native start 运行流程
在CMD下键入 C:\Node_JS\MyAwesomeProject>react-native start 运行流程: C:\Users\Grart\AppData\Roaming\npm\r ...
1、CC2541蓝牙4.0芯片中级教程——基于OSAL操作系统的运行流程了解+定时器和串口例程了解
本文根据一周CC2541笔记汇总得来—— 适合概览和知识快速索引—— 全部链接: 中级教程-OSAL操作系统\OSAL操作系统-实验01 OSAL初探 [插入]SourceInsight-工程建立方法 ...
java里的分支语句--程序运行流程的分类(顺序结构,分支结构,循环结构)
JAVA里面的程序运行流程分三大类: 1,顺序结构:顺序结构就是依次执行每一行代码 2,分支结构:分支结构就是按不同的条件进行分支 3,循环结构:一段代码依条件进行循环执行. 其中,分支结构有两大类: ...
servlet运行流程
servlet运行流程 (2013-06-19 19:16:43) 转载▼ 首先Servlet被部署到Web容器中,当客户端发送调用这个Servlet的请求到达Web容器时,Web容器会先判 ...

随机推荐

windows下apk查看工具的原理
游戏出了版本之后,提供给渠道,有部分渠道会修改包名(当他们内部系统做出调整后,可能会改包名),这个时候我又需要知道包名.之前没办法,试图反编译apk,发现失败了.然后就安装apk到手机上,手机上再下载 ...
ImageView中scaleType属性详解
scaleType是指定图片的拉伸方式的一个属性,下面是具体的示例和介绍: <LinearLayout xmlns:android="http://schemas.android.co ...
LaTeX技巧：LaTeX括号总结
功能语法显示不好看 ( \frac{1}{2} ) 好一点 \left( \frac{1}{2} \right) 您可以使用\left和\right来显示不同的括号: 功能语法显示 ...
使用Git Submodule管理子模块
转自:https://segmentfault.com/a/1190000003076028 使用场景基于公司的项目会越来越多,常常需要提取一个公共的类库提供给多个项目使用,但是这个library怎 ...
这篇NLP文章不错，BERT，好好读一下
http://dy.163.com/v2/article/detail/DU5PE7V30511ABV6.html 狂破11项记录,谷歌年度最强NLP论文到底强在哪里?
解决Keyboard遮盖输入的几种办法
一般来说,键盘遮挡主要有这么几种情况,一个是遮住UITextView,还有就是遮住UITextField,一般来说,比较推荐在UIScrollView或者UITableView里加入textfield ...
OpenCV学习记录之摄像头调用
关于opencv调用摄像头的问题主要是因为摄像头的打开有延时.在显示图像前,要用if语句判断图像是否存在.(否则会报错) 具体的:教程里的源程序,将if条件句里,break去掉,并增加else语句. ...
layer.msg();怎么关闭
var index = layer.msg(); $.ajax("","",function(){ layer.close(index) })
android 系统层常用类介绍
类名功能介绍示意图 surfacemanager为应用程序显示2d和3d程序无缝结合 mediaFramework 基于packetvideocore 该库支持常见视频图片格式的回放和录放譬如mp ...
【Spark】提交Spark任务-ClassNotFoundException-错误处理
提交Spark任务-ClassNotFoundException-错误处理 Overview - Spark 2.2.0 Documentation Spark Streaming - Spark 2 ...

跟踪 Ring3 - Ring0 的运行流程

理论知识

实验開始~

跟踪 Ring3 - Ring0 的运行流程的更多相关文章

随机推荐

热门专题