assembly - 演示处理器环-运行环0指令的汇编代码

Question

我想创建一个演示，向学生解释处理器振铃和系统调用。我在一个演示文稿中正在考虑做这样的事情：


编写一些汇编代码，以尝试执行只能在环0中运行的某些代码（例如，直接访问磁盘）
查看失败的代码，然后将其重写以使用系统调用（例如，使用系统调用读取文件）
如果不是那么难：在环0中运行初始代码


我可以使用Linux或Windows，更容易

关于在哪里可以找到有助于我的代码的任何想法？
我可以使用哪些受保护的说明？

谢谢！

Answer 1

一个引人注目的演示可能是关闭计算机电源。

不幸的是，电源管理是一件很复杂的事情，它涉及到ACPI specification，它相当抽象且冗长，并且进一步they are not the first attempt。
ACPI很复杂，因为不同的供应商需要不同的操作来管理计算机的各个方面，无论如何，如果您碰巧拥有Intel芯片组（建议使用200系列，但其他系列也应该工作），我们可以跳过大部分ACPI层并使用数据表代替。

在课堂上使用它之前，应在最终硬件上检查该程序。



ACPI定义了四个全局系统状态G0-G3，其中G3处于机械关闭状态（即拔下插头，取出电池），G2处于软断开状态。
该软件只能输入G2，这可以通过进入S5睡眠状态来完成。

睡眠状态由PCH（英特尔芯片组）通过IO寄存器（PM1a_CNT_BLK）控制，该寄存器位于设备31功能2（PM控制器）的PCI配置空间中定义的ACPI块中。
一个应该读取该块的基地址，然后加四（4）以获取感兴趣的寄存器的地址。
我不会以编程方式执行此操作，而是汇编程序期望带有该地址的符号。

要检索寄存器PM1a_CNT_BLK的地址，可以使用/proc/ioports，如下所示：

sudo cat /proc/ioports | grep 'PM1a_CNT_BLK' | cut -f3 -d' ' | cut -f1 -d'-'

这给出了寄存器的十六进制地址。如果没有打印出来，则很可能不支持该芯片组。

在某些情况下，地址为 1804。



睡眠状态由寄存器的位10:12（ SLP_TYP）和位13（ SLP_EN）控制。
SLP_TYP是3位值，用于选择要进入的状态（S5为7），而位13是使能位。
寄存器具有必须保留的其他值，因此必须执行读-修改-写操作。

除非进程的TSS的IOPL（IO特权级别）为3（或者已在IO端口映射中启用了端口），否则无法在环3中使用 in和 out指令。
IOPL告知哪些环可以使用 in和 out，值 X表示所有 X或更小的环都可以使用。

该程序尝试关闭计算机电源，并有选择地将IOPL设置为给定值（通过符号 IOPL）：

BITS 64

GLOBAL _start

SECTION .text

_start:
 ;Set the IOPL, only if greater than 0 (since 0 is the default)
%if IOPL > 0
 lea rsi, [rsp-80h]             ;We don't care about the pt_regs struct and we use the RED ZONE
 mov edi, IOPL                  ;IOPL to set
 mov eax, 172                  
 syscall                        ;Set iopl

 and eax, 0fh                   ;Just keep the last nibble, it can be 0 (success), 10 (invalid IOPL) or 15 (insufficient OS permissions)
 test eax, eax                  ;Test for errors
 mov edi, eax                   ;We exit with status 10 or 15 if the iopl syscall failed
 jnz .exit
%endif 

 ;Power off the PC
 mov dx, PM1a_CNT_BLK
 in eax, dx                     ;Read the current value
 and eax, 0ffffc003h            ;Clear SLP_TYP and SLP_EN
 or eax, (7 << 10) | (1 << 13)  ;Set SLP_TYP to 7 and SLP_EN to 1
 out dx, eax                    ;Power off

 ;This is just for safety, execution should STOP BEFORE arriving here. This exits the process with status
 ;0
 xor edi, edi

 ;Exit the process with a numerical status as specified in RDI
.exit:
 mov eax, 60
 syscall

它可以与 nasm po.asm -DPM1a_CNT_BLK=$1 -DIOPL=$2 -felf64 -o po.o组装在一起，其中 $1是如上所示的 PM1a_CNT_BLK的端口地址，但前缀为0x（在我的情况下为 0x1804），而 $2是一个数字（0-3）将IOPL设置为。
如果IOPL不为0，则会设置IOPL，因为默认值为0（即只有Ring 0可以使用 in和 out）

注意：将合理的值传递给符号，否则程序将无法汇编。

这在以下方面很有趣：


如果在IOPL为0的情况下运行，由于使用 in，该程序将在#GP下崩溃。
这演示了CPU的安全机制。
如果以IOPL> 0而不是root身份运行，则将由于权限不足而失败。
这演示了操作系统的安全机制，仅允许root更改IOPL。
如果以IOPL> 0但<3且以root用户身份运行，由于使用 in，它将以#GP身份运行。
这表明用户程序在Ring 3上运行（IOPL不够高）。
如果以IOPL = 3并以root用户身份运行，它将关闭计算机电源（否则将关闭计算机电源并返回，可能会使系统处于未知状态）。
这证明了允许用户程序访问硬件的风险。
如果IOPL> 3，则将由于无效的IOPL值而失败。
这表明只有四个环。


我制作了 a git repository with the code和脚本 built.sh，可用于构建和运行该程序的不同版本。
该脚本很有用，因为它会将 po的退出状态转换为用户友好的字符串，适合进行实验。

该脚本期望 PM1a_CNT_BLK地址作为第一个参数（带有 0x前缀），而IOPL作为第二个参数。
像这样使用它：

./build.sh 0x1804 0
./build.sh 0x1804 3
sudo ./build.sh 0x1804 2
sudo ./build.sh 0x1804 4
sudo ./build.sh 0x1804 3

当然，更改寄存器地址。



IOPL技巧只是...一个技巧。它并没有真正使程序在Ring 0上运行，它对调试很有用，但没有更多。

为了在Ring 0上运行代码，您需要一个LKM（可加载内核模块）。
在同一存储库中，我包含了一个LKM目录以及一个LKM示例。
加载模块后，尝试（立即）关闭计算机。

该代码是最少的：

#include <linux/module.h>   /* Needed by all modules */
#include <linux/kernel.h>   /* Needed for KERN_INFO */
#include <linux/fs.h>         /* Needed for KERN_INFO */
#include <asm/io.h>       /* Needed for inl and outl */

#define PM1a_CNT_BLK 0x1804

unsigned char bytes[10];

int __init lkm_init(void)
{
  unsigned int pm1a;

    printk(KERN_INFO "I'm going to power the computer off");


  pm1a = inl(PM1a_CNT_BLK);
  pm1a = ( pm1a & 0xffffc003 ) | ( 7 << 10 ) | ( 1 << 13 );
  outl(pm1a, PM1a_CNT_BLK);

  printk(KERN_WARNING "Powering off failed");

    return 0;
}


static void __exit lkm_exit(void)
{
}

module_init(lkm_init);
module_exit(lkm_exit);

MODULE_LICENSE("Dual BSD/GPL");
MODULE_AUTHOR("M.Bloom");
MODULE_DESCRIPTION("Attempt to power down the computer");

要制作LKM，请首先编辑 PM1a_CNT_BLK定义，然后在同一目录中运行 make（您将需要内核头文件）， Makefile是LKM的标准名称。
要加载模块，请使用 insmod po作为根目录（这是一种操作系统安全机制）。

由于已经开始编写此答案，因此我已编译但未测试此LKM。
您最终可以修复它，使用 dmesg检查模块的输出。

您可以将LKM用作运行0环的代码的框架，尽管在处理内存时，您必须了解Linux如何处理虚拟内存。



最后一点，如果要检查/使用此程序，请确保关闭所有应用程序，运行 sync，如果愿意，请切换到运行级别1（systemd为 systemctl isolate rescue）或至少停止所有关键服务。