10.Windows線程切換_FS段寄存器

FS:[0]寄存器在3環時指向TEB.進入0環後FS:[0]指向KPCR

系統中同時存在很多個線程,這就意味着FS:[0]在3環時指向的TEB要有多個(每個線程一份)。

但在實際的使用中我們發現,當我們在3環查看不同線程的FS寄存器時, FS的段選擇子都是相同的,那是如何實現通過一個FS寄存器指向多個TEB呢?

下面是ida的分析代碼

                        ; CODE XREF: SwapContext+85j
                        ; SwapContext+AEj
mov eax,[ebx+KPCR.NtTib.Self] ; 取出目標線程的TEB
mov ecx,[ebx+KPCR.GDT]  ; 獲取GDT
mov     [ecx+3Ah], ax   ; 修改GDT表中的段描述符基址 AX存儲地址的低2字節 存儲到段描述符低4字節的第16:31位
shr     eax, 10h        ; 右移16位得到地址的高2字節
mov     [ecx+3Ch], al   ; 修改高4字節的0:7位
mov     [ecx+3Fh], ah   ; 修改高4字節的31:24位
inc [esi+ETHREAD.Tcb.ContextSwirches] ; 目標線程的ContextSwitches+1這個值應該是用了統計切換次數
inc [ebx+KPCR.PrcbData.KeContextSwitches] ; 當前CPU的K額ContextSwitches統計信息
pop     ecx
mov     [ebx], ecx
cmp [esi+ETHREAD.Tcb.ApcState.KernlApcPending],0
jnz     short loc_404A00
popf
xor     eax, eax
retn