我正在嘗試使用sys_brk syscall在linux中分配一些內(nèi)存.這是我嘗試過的：

BYTES_TO_ALLOCATE equ 0x08

section .text

global _start

_start:

mov rax, 12

mov rdi, BYTES_TO_ALLOCATE

syscall

mov rax, 60

syscall

根據(jù)linux調(diào)用約定,我希望返回值在rax寄存器中(指向已分配內(nèi)存的指針).我在gdb中運(yùn)行它,在進(jìn)行sys_brk系統(tǒng)調(diào)用之后,我注意到以下寄存器內(nèi)容

在系統(tǒng)調(diào)用之前

rax 0xc 12

rbx 0x0 0

rcx 0x0 0

rdx 0x0 0

rsi 0x0 0

rdi 0x8 8

在系統(tǒng)調(diào)用之后

rax 0x401000 4198400

rbx 0x0 0

rcx 0x40008c 4194444 ;

rdx 0x0 0

rsi 0x0 0

rdi 0x8 8

在這種情況下,我不太了解rcx寄存器中的值.哪一個用作指向我用sys_brk分配的8個字節(jié)的開頭的指針？

解決方法:

請注意,sys_brk的界面與brk / sbrk POSIX函數(shù)略有不同;請參閱C library/kernel differences section of the Linux brk(2) man page.具體來說,Linux sys_brk設(shè)置程序中斷; arg和返回值都是指針.見Assembly x86 brk() call use.這個答案需要upvotes,因為它是該問題上唯一的好處.

你問題的另一個有趣的部分是：

I do not quite understand the value in the rcx register in this case

您正在看到syscall/sysret指令如何設(shè)計為允許內(nèi)核恢復(fù)用戶空間執(zhí)行但仍然很快的機(jī)制.

系統(tǒng)調(diào)用不執(zhí)行任何加載或存儲,它只修改寄存器.它不使用特殊寄存器來保存返回地址,而只使用常規(guī)整數(shù)寄存器.

在內(nèi)核返回到用戶空間代碼之后,RCX = RIP和R11 = RFLAGS并不是巧合.這種情況的唯一方法是,如果ptrace系統(tǒng)調(diào)用在內(nèi)核中修改了進(jìn)程保存的rcx或r11值. (ptrace是gdb使用的系統(tǒng)調(diào)用).在這種情況下,Linux將使用iret而不是sysret返回用戶空間,因為較慢的通用情況iret可以做到這一點(diǎn). (有關(guān)Linux系統(tǒng)調(diào)用入口點(diǎn)的一些演練,請參閱What happens if you use the 32-bit int 0x80 Linux ABI in 64-bit code?.但是,大多數(shù)情況下,32位進(jìn)程的入口點(diǎn),而不是64位進(jìn)程中的系統(tǒng)調(diào)用.)

而不是將返回地址推送到內(nèi)核堆棧(如int 0x80),系統(tǒng)調(diào)用：

>設(shè)置RCX = RIP,R11 = RFLAGS(因此在執(zhí)行系統(tǒng)調(diào)用之前,內(nèi)核甚至無法查看這些寄存器的原始值).

>使用配置寄存器(IA32_FMASK MSR)中的預(yù)配置掩碼屏蔽RFLAGS.這讓內(nèi)核禁用中斷(IF),直到它完成swapgs并將rsp設(shè)置為指向內(nèi)核堆棧.即使將cli作為入口點(diǎn)的第一條指令,也會有一個漏洞的窗口.你也可以通過屏蔽DF來免費(fèi)獲得cld,所以即使用戶空間使用了std,rep movs / stos也會向上移動.

有趣的事實(shí)：AMD首次提出的系統(tǒng)調(diào)用/交換設(shè)計并未掩蓋RFLAGS,而是掩蓋了they changed it after feedback from kernel developers on the amd64 mailing list(在?2000年,比第一個芯片早幾年).

>跳轉(zhuǎn)到配置的系統(tǒng)調(diào)用入口點(diǎn)(設(shè)置CS：RIP = IA32_LSTAR).我想,舊的CS值不會保存在任何地方.

>它沒有做任何其他事情,內(nèi)核必須使用swapgs來訪問保存內(nèi)核堆棧指針的信息塊,因為rsp仍然有來自用戶空間的值.

因此,系統(tǒng)調(diào)用的設(shè)計需要一個系統(tǒng)調(diào)用ABI,其中注冊符號,這就是為什么這些值是它們的原因.

標(biāo)簽：linux,assembly,x86-64,system-calls

來源： https://codeday.me/bug/20190828/1749140.html

總結(jié)

以上是生活随笔為你收集整理的linux修改栈指针x86,为什么x86-64 Linux系统调用会修改RCX,这个值意味着什么？的全部內(nèi)容，希望文章能夠幫你解決所遇到的問題。

如果覺得生活随笔網(wǎng)站內(nèi)容還不錯，歡迎將生活随笔推薦給好友。