顯示具有 Proteced Mode相關知識 標籤的文章。 顯示所有文章
顯示具有 Proteced Mode相關知識 標籤的文章。 顯示所有文章

2010年3月1日 星期一

Fast A20 和92H,及8042到底是什麼關係



關於A20 Gate
本來想直接寫一篇關於保護模式的文章,因為有一位讀者不斷地問我這個問題,隨著問題的深入,在評論上回答這個問題實在是太困難了,動起筆來,發現涉及的事情太多,免不了又是長篇大論惹人煩,而且要寫很長時間,不知道我能不能把它寫完,所以乾脆把一些問題分離出來寫,或許還可以堅持寫出來。
在許多PC的CMOS設置裏,都有一項叫做“A20 Enable“的設置,不知道大家是否就此設置困惑過,這個A20是什麼呢?
說A20則不得不說PC機的記憶體,我儘量用簡短的語言說明白PC機記憶體的一些獨有的術語,在我剛接觸PC機的時候(1985年前後),如果你的機器有一塊10M或者20M的硬碟,那已經是一台不錯的機器,如果你的機器有256K的記憶體,那絕對是高配置,那時候還沒有3.5"的軟碟,都是使用5"的容量僅360K的軟碟,所以那個時候,設計IBM PC的IBM公司非常自信地認為,1M記憶體是一個根本達不到的天文數字,我想由於這種思想的作怪(我猜的),IBM非常愚蠢地把PC機1M存儲空間的最上面的384K用作了ROM和系統設備,這種設計給現在的PC機的記憶體結構埋下了麻煩的伏筆,如果當初IBM把PC機的1M存儲空間的最下面的384K用作ROM和系統設備,可能現在就會少好多麻煩,這個後面說。
寫到這裏的時候,我想起了許多事,大家是否知道我國的第一台電子電腦是什麼型號?是什麼樣子?是1958年生產的103機,後來又有了全電晶體的電子電腦,很榮幸的是,在我工作過的單位裏,曾經有過這麼一台全電晶體的電子電腦,就是那種使用穿孔紙帶輸入電腦程式,占地好幾百平方米,一旦開動需要幾十人進行維護的傢伙,我到這個單位的時候,這台機器早已不再運轉的,80年代的時候,我有幸參加了這台機器的拆解工作,給我印象最深的是,我終於看到了當時在教科書裏說的“磁鼓”(估計現在的教科書裏也沒有了),一種看上去像篩子一樣的東西,那就是當年的記憶體,用於在紙帶上打孔進行程式輸入的穿孔機我用過,樣子很像老式的英文打字機。還有那種8英寸的軟碟,估計現在也很少有人見過了。
好了言歸正傳,大家都知道,8088/8086只有20位位址線,按理它的定址空間是2^20,應該是1024KB,但PC機的定址結構是segment:offset,segment和offset都是16位的寄存器,最大值是0ffffh,換算成物理位址的計算方法是把segment左移4位,再加上offset,所以segment:offset所能表達的定址空間最大應為0ffff0h + 0ffffh = 10ffefh(前面的0ffffh是segment=0ffffh並向左移動4位的結果,後面的0ffffh是可能的最大offset),這個計算出的10ffefh是多大呢?大約是1088KB,就是說,segment:offset的位址表達能力,超過了20位元位址線的物理定址能力,你說這是不是有點麻煩。在早先,由於所有的機器都沒有那麼大的記憶體,加上位址線只有20位,所以當你用segment:offset的方式企圖定址100000h這個位址時,由於沒有實際的第21位位址線,你實際定址的記憶體是00000h的位置,如果你企圖定址100001h這個位址時,你實際得到的內容是位址00001h上的內容,所以這個事對實際使用幾乎沒有任何影響,但是後來就不行了,出現了80286,地址線達到了24位,使segment:offset定址100000h--10ffefh這將近64K的記憶體成為可能,為了保持向下相容,於是出現了A20 Gate,這是後話,我們後面再細說。
我們可能經常聽到一些只有在PC機上才有的一些關於記憶體的專有名詞,包括:常規記憶體(Conventional Memory)、上位記憶體區(Upper Memory Area)、高端記憶體區(High Memory Area)和擴展記憶體(Extended Memory),我儘量把這幾個東東說明白,這需要上面這張著名的圖。

這張圖很清楚地說明了問題,大家都知道,DOS下的“常規記憶體”只有640K,這640K就是從0--A0000H這段位址空間;所謂“上位記憶體區”,指的就是20位位址線所能定址到的1M位址空間的上面384K空間,就是從A0001H--100000H這段位址空間,也就是我們說的用於ROM和系統設備的位址區域,這384K空間和常規記憶體的640K空間加起來就是20位位址線所能定址的完整空間1024KB;由於80286和80386的出現使PC機的位址線從20位變成24位又變成32位,定址能力極大地增加,1M以上的記憶體定址空間,我們統稱為“擴展記憶體”;這裏面絕大部分記憶體區域只能在保護模式下才能定址到,但有一部分既可以在保護模式下,也可以在實模式下定址,這就是我們前面提到過的位址100000h--10ffefh之間的這塊記憶體,為了表明其特殊性,我們把這塊有趣的記憶體區叫做“高端記憶體”。
前面我們提過由於IBM的愚蠢設計給PC機的記憶體結構埋下了麻煩的伏筆,現在我們來說說這個麻煩。我們都見過PC機上的記憶體條,但是由於上位記憶體區的存在,這個記憶體條上的位址居然不能連續,就是說,這個記憶體條上要有0--A0000H的位址空間,還要有100000h--最大記憶體容量的位址空間,中間的384K位址空間必須留出來給ROM用,在現如今一個晶片就好幾兆的情況下,你說這個記憶體條應該怎麼做,當然我相信一定是可以做出來的,但肯定很麻煩,如果當初IBM把這個“上位記憶體區”放在位址低端,就是0--6000h這一部分,豈不是這個麻煩就沒有了?!
但是,實際的記憶體條上位址都是連續的,並沒有人把這段位址空間留出來給ROM使用,原因很簡單,採用技術手段把這段位址空間空出來,比浪費這384K記憶體的成本還要高,所以在這個位址區域就出現了很奇怪的現象,ROM和RAM的地址重疊。 實際上,往往ROM並不能完全覆蓋整個384K區域,這樣就會有一些位址沒有被ROM佔用,那麼這部分位址上的RAM仍然是可以使用的。實際上,和ROM重疊的這384K RAM一般也不會被浪費,說到這裏,不得不說所謂的ROM Shadowing了,RAM和ROM的性能是有很大差異的,RAM的存取速度要遠遠大於ROM,而且RAM可以32位存取,ROM通常只能16位,所以目前的PC機對這塊RAM和ROM重疊的區域的處理採用一種ROM Shadowing的技術方式,當機器加電後,先讓ROM有效,RAM無效,然後讀出ROM內容,再讓ROM無效,RAM有效,把讀出的ROM內容放到相同位址的RAM中,並把相應位置的RAM設定為唯讀,這樣就把ROM搬到了RAM中,位址完全一樣,只是性能比使用ROM要高些,這塊RAM就好像ROM的Shadow一樣。
回到我們的主題A20 Gate,出現80286以後,為了保持和8086的相容,PC機在設計上在第21條位址線(也就是A20)上做了一個開關,當這個開關打開時,這條位址線和其他位址線一樣可以使用,當這個開關關閉時,第21條位址線(A20)恒為0,這個開關就叫做A20 Gate,很顯然,在實模式下要訪問高端記憶體區,這個開關必須打開,在保護模式下,由於使用32位位址線,如果A20恒等於0,那麼系統只能訪問奇數兆的記憶體,即只能訪問0--1M、2-3M、4-5M......,這顯然是不行的,所以在保護模式下,這個開關也必須打開。
下面我們來看一下PC機是怎麼實現A20 Gate的。
早期的PC機,控制鍵盤有一個單獨的單片機8042,現如今這個晶片已經給集成到了其他大片子中,但其功能和使用方法還是一樣,當PC機剛剛出現A20 Gate的時候,估計實在找不到控制它的地方了,同時為這點小事也不值得增加晶片,於是工程師使用這個8042鍵盤控制器來控制A20 Gate,但A20 Gate真的和鍵盤一點關係也沒有,我們先從軟體的角度簡單介紹一下8042這個晶片。
8042有4個寄存器
· 1個8-bit長的Input buffer;Write-Only;
· 1個8-bit長的Output buffer; Read-Only;
· 1個8-bit長的Status Register;Read-Only;
· 1個8-bit長的Control Register;Read/Write。
有兩個埠位址:60h和64h。
· 讀60h埠,讀output buffer
· 寫60h埠,寫input buffer
· 讀64h埠,讀Status Register
對Control Register的操作相對要複雜一些,首先要向64h埠寫一個命令(20h為讀命令,60h為寫命令),然後根據命令從60h埠讀出Control Register的資料或者向60h埠寫入Control Register的資料(64h埠還可以接受許多其他的命令)。
先來看看Status Register的定義,我們後面要用bit 0和bit 1:
bit meaning ----------------------------------------------------------------------- 0 output register (60h) 中有數據

1 input register (60h/64h) 有數據

2 系統標誌(上電重定後被置為0)

3 data in input register is command (1) or data (0)

4 1=keyboard enabled, 0=keyboard disabled (via switch)

5 1=transmit timeout (data transmit not complete)

6 1=receive timeout (data transmit not complete)

7 1=even parity rec'd, 0=odd parity rec'd (should be odd)
除了這些資源外,8042還有3個內部埠:Input Port、Outport Port和Test Port,這三個埠的操作都是通過向64h發送命令,然後在60h進行讀寫的方式完成,其中本文要操作的A20 Gate被定義在Output Port的bit 1上,所以我們有必要對Outport Port的操作及埠定義做一個說明。
· 讀Output Port向64h發送0d0h命令,然後從60h讀取Output Port的內容
· 寫Output Port向64h發送0d1h命令,然後向60h寫入Output Port的資料
另外我們還應該介紹兩個命令:
· 禁止鍵盤操作命令向64h發送0adh
· 打開鍵盤操作命令向64h發送0aeh
有了這些命令和知識,我們可以考慮操作A20 Gate了,有關8042晶片更詳細的資料,請參考該晶片的Data Sheet。
如何打開和關閉A20 Gate。
理論上講,我們只要操作8042晶片的輸出埠(64h)的bit 1,就可以控制A20 Gate,但實際上,當你準備向8042的輸入緩衝區裏寫資料時,可能裏面還有其他資料沒有處理,所以,我們要首先禁止鍵盤操作,同時等待資料緩衝區中沒有資料以後,才能真正地去操作8042打開或者關閉A20 Gate。打開A20 Gate的具體步驟大致如下:
1.關閉中斷; 2.等待8042 Input buffer為空; 3.發送禁止鍵盤操作命令; 4.等待8042 Input buffer為空; 5.發送讀取8042 Output Port命令; 6.等待8042 Output buffer有數據; 7.讀取8042 Output buffer,並保存得到的位元組; 8.等待8042 Input buffer為空; 9.發送Write 8042 Output Port命令到8042 Input buffer; 10.等待8042 Input buffer為空; 11.將從8042 Output Port得到的位元組的第2位置1(或清0),然後寫入8042 Input buffer; 12.等待,直到8042 Input buffer為空為止; 13.發送允許鍵盤操作命令到8042 Input buffer; 14. 打開中斷。
下面是完成打開A20 Gate的代碼:
A20Enable:

cli ;1.關閉中斷

call WaitInbufEmpty ;2.等待8042 Input buffer為空;

mov al, 0adh

mov dx, 64h

out dx, al ;3.發送禁止鍵盤操作命令

call WaitInbufEmpty ;4.等待8042 Input buffer為空;

mov al, 0d0h

mov dx, 64h

out dx, al ;5.發送讀取8042 Output Port命令;

call WaitOutbufFull ;6.等待8042 Output buffer有數據;

mov dx, 60h

in al, dx ;7.讀取8042 Output buffer

push ax ;保存讀取的資料

call WaitInbufEmpty ;8.等待8042 Input buffer為空;

mov al, 0d1h

mov dx, 64h

out dx, al ;9.發送寫 8042 Output Port命令

call WaitInbufEmpty ;10.等待8042 Input buffer為空

pop ax

or al, 02h ;11.將從8042 Output Port得到的位元組的bit 1置1

mov dx, 60h

out dx, al ;寫入Output Port

call WaitInbufEmpty ;12.等待8042 Input buffer為空

mov al, 0aeh

mov dx, 64h

out dx, al ;13.發送允許鍵盤操作命令

sti ;開中斷

ret

WaitInbufEmpty:

mov dx, 64h

in al, dx ;讀取Status Register

test al, 02h

jnz WaitInbufEmpty

ret

WaitOutbufFull:

mov dx, 64h

in al, dx

test al, 01 ;讀取Status Register

jz WaitOutbufFull

ret
後來,由於感覺使用8042控制A20運行太慢了(確實,那麼長的代碼,中間還要若干次的wait),所以後來又出現了所謂的Fast A20,實際上,現在的大多數機器都是Fast A20,Fast A20使用92h埠控制A20,同時BIOS裏提供了一個軟中斷來控制A20:
入口:ah=24h al=0 關閉A20 1 打開A20 2 讀取A20狀態 int 15h
返回:如果BIOS支援此功能,CF=0,否則CF=1 CF=0時,AX返回當前A20狀態,1=打開,0=關閉
像8042中的Output Port中的定義一樣,92h埠的bit 1控制著A20,為1時打開,為0時關閉,從92h中讀一個byte可以看a20的當前狀態,所以對92h的操作如下:
· 讀A20狀態mov dx, 92hin al, dx如果al的bit 1為1表示a20打開,否則為0
· 打開A20mov dx, 92hmov al, 02out dx, al
· 關閉A20mov dx, 92hmov al, 0out dx, al
特別要注意的是,大家從這篇文章的文字中可能也能感覺到,A20 Gate的設計本身就讓人感覺很彆扭,不是那麼流暢,所以和A20有關的事情就難免也會有相同的感覺,很奇怪的是,上面介紹的三種方法並不是在每台機器上都適用,所以如果你要做一個商業軟體其中要操作A20,那一定要三種方式聯合使用才比較穩妥,否則會有意想不到的結果,LINUX公開的啟動代碼中就是這麼做的
在DOS下有時我們會在config.sys中寫上一句:dos=high,這句就會把駐留的DOS放到高端記憶體區域去,怎麼放的呢?關鍵點就是打開A20,然後把DOS從常規記憶體搬到100000h起始的區域去,並把在常規記憶體中佔用的記憶體釋放掉,當然說起來容易,實際做的時候還有很多細節要處理。
說到DOS=HIGH,就不得不提醒大家另一件事,如果在config.sys中有dos=high這一句,那麼恐怕92h的方法和BIOS的方法都會不完全靈驗(至於操作8042的方法靈不靈我沒有試),這是DOS做了手腳,因為DOS被放到了高端記憶體中,為了保證DOS能正常運行,它不允許你把A20給關掉,遇到這種情況不要驚慌,不是我寫得不對,確實是DOS太狡猾了。
還有最後一點要特別注意,92h的bit 0是給機器發重定信號的(8042 Output Port的bit 0也是),所以在向92h寫資料時,千萬不要讓bit 0為1,否則機器會重新啟動,如果你的應用程式需要重新啟動機器,這也是方法之一,比jmp 0ffffh:0來的還要乾脆。
在其他我們介紹保護模式的文章中,我們會用到上面提到的打開A20的方法,屆時可能就不會做更多的解釋了。
另外,涉及操作A20的資料其實很少,有些資料我手裏也很缺乏,比如92h除bit 0和bit 1以外的定義是什麼我至今也不知道,包括本文中的一些內容也是摸索所得,並沒有資料予以佐證,所以萬一有不對的地方,不要見怪,並懇請指出。
--> 閱讀更多...

2009年3月31日 星期二

●DJGPP和保護模式

本文轉貼於http://hengch.blog.163.com/
DOS不能工作在保護模式
讓CPU工作在保護模式很容易,但CPU工作在保護模式時你無法調用DOS和BIOS服務,為什麼呢?因為DOS和BIOS的代碼是按照在真實模式下運行的方式寫的,不符合保護模式程式的規範,比如,在真實模式下,DOS下的程式碼可以把任意數值放到段寄存器(CS、DS、ES、SS)中,只要不超過64K就可以,但在保護模式下,段寄存器只能放一個已經存在的selector的值,任何其它的值都將引起一個“General Protection Fault”錯誤異常。
所以,如果程式讓CPU進入保護模式,並且調用DOS服務,比如列印一行資訊,將馬上使系統崩潰,如果你不明白這一點,恐怕連一個最簡單的“Hello World”程式都寫不出來。
更糟糕的是,雖然應用程式不能調用DOS和BIOS服務,但DOS和BIOS卻必須要運行,比如時鐘晶片產生的硬體中斷,每秒18.2次的時鐘中斷等,時鐘中斷是BIOS的一部分,工作在真實模式。
所以,哪怕程式不調用任何真實模式代碼,一些非同步的系統事件仍然會發生,機器仍然會很快崩潰,所以,要在DOS下進入保護模式,必須首先解決DOS/BIOS和保護模式之間的這種衝突。
DOS Extender允許DOS和保護模式共存
如果你不想寫一個保護模式下的作業系統來完全取代DOS和BIOS,解決衝突的辦法是在你的應用程式和DOS/BIOS之間加入一個軟體層,這個軟體層可以視情況讓CPU在真實模式和保護模式之間切換,這個軟體層叫做DOS Extender。
在DOS Extender下,當保護模式下的程式要調用真實模式下的服務時,Extender給這個調用設置一個陷阱,把CPU切換到真實模式,再重新發出 這個調用,等待其完成調用,然戶再切換回保護模式,並返回到那個調用真實模式代碼的應用程式中,像時鐘中斷、鍵盤這樣的硬體中斷,也會被Extender設 置一個陷阱,並產生保護模式到真實模式的切換和返回。
你可能會想,這種方式會使應用程式運行變的很慢,然而在實際應用中,大多數程式並不會頻繁地調用OS的服務,即使調用很多,由於大多數的OS服務都是存取外部設備,比如硬碟,而這些設備的速度比起CPU而言是非常慢的,所以很少有人注意到模式切換上的系統開銷。
DJGPP v1.X和go32 Extender
在DJGPP v1.x中使用的go32程式,就是這樣一個DOS Extender,每個程式啟動時都會自動地裝載go32,go32除了完成DOS Extender的任務外,還接管下面一些與DJGPP相關的任務。
• 裝載應用程式,並為運行做好準備
由於DJGPP的執行檔使用COFF格式,DOS看不懂這種格式,go32負責讀取 COFF頭並初始化代碼、資料和其它檔頭中的分段
• 提供UNIX形式的命令列擴展
• 保護模式下浮點運算模擬
• 圖形支援
go32中有一些特殊的代碼,使其能夠適應各種各樣的進入保護模式的方法並管理擴展記憶體,所以他可以工作在任何DOS配置下,但這也使其產生一些不能忽視的缺陷,就是Extender必須被裝入常設記憶體,並且每個程式實例大約要佔用130KB的記憶體,大多數情況下DOS啟動以後都會有500-600K剩餘的常設記憶體,這意味著一個DJGPP程式只能有3-4級的嵌套。這是一個很嚴重的限制,DJGPP v2.x已經解決了這個問題。
DJGPP v2.X與DPMI服務
DJGPP v2.x放棄了Extender,取而代之的是需要一個已經運行的DPMI服務,DPMI:DOS Protected-Mode Interface的縮寫,是一個特殊的API,它允許保護模式的應用程式在DOS的上層運行,他定義了 一些函數,使保護模式下的程式(稱為DPMI客戶)可以做一些諸如:進入保護模式、分配記憶體和段描述符、調用真實模式的服務、連接中斷等等,許多使用 Intel CPU的作業系統都有DPMI服務,包括windows的所有版本,OS/2,以及LINUX DOS模擬器都是著名的例子,還有一些持有專 利的DOS下的DPMI伺服器,通常和DOS的記憶體管理器捆綁在一起,比如QEMM和386MAX,FreeDOS 也包含有一個DPMI伺服器作為缺省設置的一部分,對於那些沒有DPMI伺服器的系統,DJGPP v2.x提供一個免費的DPMI伺服器,叫做 CWSDPMI,CWSDPMI很多地方使用了go32的代碼,DJGPP啟動代碼檢查DPMI服務,如果沒有,將自動搜索並載入 cwsdpmi.exe----CWSDPMI伺服器。
DPMI伺服器(又稱為DPMI HOST)可以解決運行在DOS上層的保護模式程式的大部分問題,餘下的那些在1.x版本中由go32完成的函數,在v2.x中被DJGPP的啟動代碼接管並放在低級函式程式庫中,下面簡短地說一下DJGPP啟動代碼的兩個特點。
DJGPP v2.x的啟動代碼
DJGPP v2.x啟動代碼包括兩部分:短小的裝載程式和庫啟動模組,前者是由組合語言寫成,是一段有特殊作用的組合語言程式,叫做djasm,它是一段 16-bit的DOS可執行程式,這個短小的裝載程式會被連結到每一個DJGPP程式中,是唯一一部分可以被DOS識別的部分,其餘部分----COFF 可執行文檔----在DOS看來只是一些奇怪的資料。
第二部分是一個庫模組,它包括許多模組,有些用C寫成,有些用彙編寫成,當裝載程式把程式調入並初始化完成後,這裡就是COFF格式程式的入口點。
裝載程式完成以下工作:
• 為傳輸緩衝區申請記憶體
這個緩衝區用於在DOS服務和程式之間傳送資料。
• 檢查是否DPMI服務已經運行
以下兩種情況說明DPMI已經啟動
(1)有一個常駐記憶體的DPMI伺服器,比如windows中內置的DPMI伺服器
(2)當前程式是一個嵌套的DJGPP程式,他的父程式已經啟動了CWSDPMI
如果DPMI服務還沒有啟動,則裝入CWSDPMI。首先在目前的目錄下搜索cwsdpmi.Exe, 然後到環境變數PATH指定的目錄下去查找。
• 把COFF可執行部分的檔頭裝入記憶體
需要知道要為DJGPP程式申請多少記憶體
• 調用DPMI host提供的入口點,把CPU切換到保護模式
注意:裝入程式的其餘部分運行在保護模式下
• 為程式碼和資料申請記憶體空間
通過DPMI的功能調用可以為代碼和資料申請段描述符和記憶體空間,並設置基底位址、 界限和許可權。
• 把COFF格式的可執行部分調入記憶體
通過DPMI服務調用DOS(主要指檔操作)服務,把代碼、資料和BSS節讀入上 面申請的記憶體中,DPMI服務允許你從保護模式下調用真實模式下的服務。
• 跳轉到COFF鏡像的入口點執行
這個入口點在上面提到過的庫啟動模組中。
下面是庫啟動代碼部分完成的工作
• 生成一個不受約束的空頁
這將產生一個NULL Pointer dereference的錯誤,並將觸發一個異常處理,程式 會收到SIGSEGV信號,但這個功能並非基本DPMI 0.9規範中的一部分,所以 windows和其它許多有專利的DPMI伺服器並不支持這個功能,但CWSDPMI支援這 一功能。
• 改變申請記憶體的資料段的大小
這個聽起來簡單,但由於DPMI記憶體調用的特殊性,實際上是非常複雜的,例如: 它需要把一段真實模式下的16-bit代碼調入常設記憶體的緩衝區並運行。
• 設置程式的堆疊
DJGPP程式堆疊的缺省大小是512KB,但應用程式或改變設置都可以改變堆疊大小
• 為存取常設記憶體申請selector
與DOS/BIOS函數之間傳遞資料,或者像視頻界面上的顯示緩衝區那種使用記憶體 映射的設備,許多DOS程式需要存取常設記憶體,但由於在缺省情況下,常設記憶體並 沒有映射在程式的資料段中,為了存取常設記憶體,使用了一個特殊的selector---- _dos_ds。
• 初始化信號管理
需要連結一些硬體中斷,例如:按下CTRL-時產生的SIGINT信號。還有時鐘中 斷產生的SIGPROF信號等。
• 拷貝程式的環境變數到environ[]陣列中
• 讀出定義了DJGPP附加環境變數的檔
• 獲得並解釋命令列參數
• 如果需要,設置x87 FPU並載入浮點運算模擬器
• 調用靜態構造函數
• 調用用用程式的主函數
--> 閱讀更多...

2009年3月24日 星期二

●描述符表和描述符快取記憶體




在80x86的CPU裡,描述符的概念實在是太重要了。
在真實模式下,大家都知道物理位址是由段位址和偏移位址兩部分組成,其公式如下:
物理位址 = 段位址 × 16 + 偏移位址
或者:物理位址 = 段位址 << 4 + 偏移位址
其結果都是一樣的,由於段位址和偏移位址的長度都是16位元,所以這種方式能夠表達的最大位址為:ffff:ffffH,也就是10ffefH,大致是 1088KBytes,有由於8086CPU的位址線只有20位,所以在8086上實際的定址能力僅為1024KBytes,在80286和 80386CPU上,通過A20的使用,可以實際定址到1088KBytes,這個問題在《關於A20 gate》的文章中有過介紹。
從80386開始,CPU的位址匯流排已經到了32位元,但只有在保護模式下才能真正地享受32位的高性能,實際上在保護模式下,CPU也是使用段:偏移位址 的方式來定址的,只是這裡面有兩點區別,1-偏移位址可以是16位也可以是32位;2-段寄存器中的內容和在真實模式下的含義完全不一樣,而且已經不是組成 物理位址的一部分。顯然,偏移位址的這種變化是很容易理解的,無需更多地解釋,所以,保護模式和真實模式相比,重要的區別就是段寄存器中內容的區別了。
那麼,這個段寄存器中到底存的是什麼東東呢?它存的是某個描述符在描述附表中的偏移值,這是什麼意思呢?一個描述附表中有很多描述符,每個描述符的長度都 相同,假如第一個描述符我們編號是0的話,那麼第n個描述符的編號就是n-1,這個n-1就是所謂的描述符索引,所謂“偏移”就是從描述符表起始位置起, 到我們要用的這個描述符有多少個位元組,也就是描述符索引 × 描述符長度,很顯然如果知道描述符表的起始位址,再加上段寄存器的值,我們就能找到我們要的這個描述符了。
我們先來把到此為止的問題羅列一下:
1、這個描述符是什麼東東?
2、畢竟我們是要通過段:偏移位址的形式得到物理位址,既然這個段代表一個描述符,那麼這個描述符和物理位址有什麼關係?
3、上面說到的描述符表的起始位址和描述符長度是是什麼?因為沒有這兩個東西還是找不到描述符的。
我們試著來說明這幾個問題。
首先,描述符實際上就是一個8位元組長的資料結構,它的定義如上:

每一個描述符代表一個分段(有點像真實模式下的64K分段),可以看到段基址由Byte2、Byte3、Byte4和Byte7組成,一共32bits,段 的最大長度不像在真實模式中固定為64K,而是有一個20位的段邊界(由Byte0、Byte1和Byte6的低4位組成)來設定,由於偏移位址為32位, 所以實際上段的最大長度可以達到4GBytes,段邊界的單位可以是位元組也可以是4KBytes,這取決於G=0還是G=1(Byte6的bit 7),當G=1時,段邊界的單位是4KBytes,相當於低12bits全部為1(4K剛好12bits),加上20位的段邊界,剛好為32位,最大可以 達到4GBytes;當G=0時,段邊界的單位為位元組,20位元最大為16MBytes。
在描述符的定義中還有一個訪問權位元組以及AVL、D/B等,介紹起來篇幅很長,以後有機會介紹。
說到這兒,可能大家心裡有點眉目了,段寄存器裡存放一個描述符在描述符表中的偏移,通過這個偏移可以找到相應的描述符,通過這個描述符中的段基址再加上偏移位址,就組成了物理位址,對了,基本上就是這樣,當然不會這麼簡單,其中還有很多細節,但大致原理就是這樣。
前面提到的三個問題,我們已經回答了兩個半,就是描述符是什麼,怎樣計算物理位址,還有描述符的長度是多少。最後一個問題是:描述符表的起始位址在那裡? 其實這個問題最好回答,在那篇《80386寄存器組成》的文章中提到過一個GDTR的系統表寄存器,這個描述符表的起始位址就存在這個寄存器中(這麼說不 是很完整,但不影響理解),如果你還要問,描述符表存在哪裡?如何把描述符表的起始位址放到GDTR寄存器中?這兩個問題也不難回答,描述符表可以存儲在 記憶體的任何位置;通過LGDT指令可以把描述符表的起始位址存入GDTR寄存器中。
大家有沒有感到奇怪,為什麼32位的段基址和20位的段界限在描述符中都不連續存放,這是和Intel 80x86 CPU的發展歷史分不開的,最先有保護模式的CPU是80286(現在已經不多見了),這個CPU只有24位的位址線,所以可以看到現在386的描述符中 基底位址的前24bits是連續存放的,後來在擴充時需要把基底位址變成32位元,為了和80286相容,只好分開存放了,段界限也是同樣原因造成的,所以在 80286上,一個描述符的長度雖然也是8位元組長,但它只用到了前6個位元組,到了386就全都用上了。
到這裡,應該對保護模式下記憶體的定址有了一個大致的瞭解,CPU首先通過段寄存器中的偏移值,配合GDTR寄存器中的描述符表的起始位址,找到段寄存器表示的描述符,再從描述符中獲得段基址,然後再加上偏移位址就得到了物理位址(其中許多細節省略不說)。
大家有沒有感到,CPU的定址過程很累,那麼這麼累的定址會不會導致速度變慢呢?實際上,CPU的定址過程並不像上面描述的這麼累,要解釋CPU的實際定址過程,必須要提到描述符快取記憶體(Descriptor Cache Register)。
實際上,不管是在真實模式還是在保護模式下,CPU都會把一個分段的基底位址放在一組隱藏的寄存器中,這組隱藏的寄存器,對程式師是不可見的,程式也是無法直 接存取的,但卻是實際存在的,這組隱藏的寄存器叫做描述符快取記憶體寄存器(Descriptor Cache Registers),當段寄存器的值發生變化時,段的基底位址、段的邊界以及存取屬性(存取許可權)都會被重新載入到這個段寄存器對應的快取記憶體中,為增強 性能,CPU對隨後的定址均會直接從這個快取記憶體中計算,而不會去描述符表中提取描述符,實際上,各種CPU中這個快取記憶體的內部結構是不同的,以上是幾種CPU中快取記憶體的結構圖:

不管其內部結構是怎樣的,但我們可以看到,CPU在把描述符載入進快取記憶體時並不是簡單的拷貝,而是做了一些適當的處理,比如把原來沒有連續存放的段基址 和段界限變成了連續的,把原來20bits的段界限根據G值轉換成了32bits,所以我們在快取記憶體裡看不到原來描述符裡的G標誌就是這個道理,顯然, 這些處理十分有利於快速地得出實際位址來。
前面我們提到過,CPU內部寄存器GDTR中存儲著描述符表的起始位址,細心的讀者可能會發現,《80386寄存器組成》一文中提到的GDTR寄存器有 48bits,而且分成兩部分,一部分是32bits,另一部分是16bits,這是怎麼回事呢?實際上GDTR中不僅存著描述符表的其真實位址,還存放著 描述符表的長度,其中16bits的部分就是描述符表的長度,32bits的部分就是描述符表的起始位址,按照規範,描述符表中最多可以有 8192(8K)個描述符,每個長度8個位元組,所以最大長度為64K,16bits已經足夠了,同理,段寄存仍然保持16bits長度也是足夠的。
不管是在真實模式還是在保護模式下,CPU在實際定址時都會使用這個快取記憶體。所不同的是,在真實模式下,在段寄存器的值發生變化時,僅僅把段寄存器的值 ×16(左移4位)放到快取記憶體的的基底位址位置,段界限和存取許可權總是一個固定不變的值(按照Intel的說法,PC機加電後工作在真實模式,快取記憶體中將 被置入缺省值,在真實模式下,其中的段界限和存取許可權將一直保持不變);而在保護模式下,當段寄存器發生變化時,CPU要從描述符表中載入資料到快取記憶體 中,實際上,保護模式下CPU在從描述符表中向快取記憶體中載入資料時要做大量的保護性檢查,大致如下:
1. 段寄存器的值不能是0。根據規範,描述符表中的第一個描述符必須是空描述符,所以段寄存器值為0是不合法的。如果為0,產生異常中斷13.
2. 段寄存器中的值是否大於或等於描述符表的長度(存在GDTR中),如果大於或等於描述符表的長度,產生異常中斷13.
3. 如果段寄存器是CS,檢查描述符表中的段類型是否為程式碼片段,如果不是,產生異常中斷13.
4. 如果段寄存器CS要求裝入的段是程式碼片段,檢查描述符表該段是否存在,如果不存在產生異常中斷11
5. 如果段寄存器CS通過了3、4的檢查,還要檢查IP是否超越了該段的邊界,如果越界,產生異常中斷13
6. 如果段寄存器CS通過了3、4、5的檢查,則把相應的描述符裝入快取記憶體
7. 如果段寄存器不是CS,檢查描述符表中的段類型為資料段,如果不是產生異常中斷13
8. 如果段寄存器不是CS,該段為資料段,檢查其是否存在,如果不存在產生異常中斷12
9. 如果段寄存器不是CS,且通過了7、8檢查,則把相應的描述符裝入快取記憶體
以上過程,不一定很完整,大概就是這樣,從中,大家應該可以看出,所謂保護模式的保護方式,至少有一個感性認識。

說到這裡,基本上可以結束了,但是我們所說的描述符表實際上是非常膚淺的,實際上本文說到的描述符表叫做通用描述元表(Global Descriptor Table 簡稱GDT),還有局部描述符表,中斷描述符表等,但其原理大同小異,理解了GDT,其它的也就比較容易了
--> 閱讀更多...

2009年3月18日 星期三

●中斷、保護模式、分頁‧‧真是夠ㄌ


以前寫AP知道有保護模式這玩意,但壓根想也想不到我也要碰這一塊;若你想往下看,我想你ㄉ功力一定深不見底,若你對這些和我以前一樣還搞的很模糊,那建議你去買本書先:"自己動手寫作業系統";于淵編著。把它的第三章搞懂你就成大功立大業ㄌ。當然若你是大內高手,每天都和這些玩意兒打混,那這裡你可以來點建議吧!
以下資料是大陸網站找到的,可以先暖暖身子:但因為資料太多,所以真正ㄉ保護模式都還沒有進入主題,先SAY SORRY,下回就會有●中斷、保護模式、分頁‧‧真是夠ㄌ___PART2,請奈心等待‧‧‧
初級接觸ASM者學習資料(1)
組合語言和CPU以及記憶體,埠等硬體知識是連在一起的. 這也是為什麼組合語言沒有通用性的原因.
下面簡單講講基本知識(針對INTEL x86及其兼容機) ============================ x86組合語言的指令,其操作物件是CPU上的寄存器,系統記憶體,或者立即數. 有些指令表面上沒有運算元, 或者看上去缺少運算元, 其實該指令有內定的操作物件, 比如push指令, 一定是對SS:ESP指定的記憶體操作, 而cdq的操作物件一定是eax / edx. 在組合語言中,寄存器用名字來訪問. CPU 寄存器有好幾類, 分別有不同的用處: 1. 通用寄存器: EAX,EBX,ECX,EDX,ESI,EDI,EBP,ESP(這個雖然通用,但很少被用做除了堆疊指標外的用途) 這些32位可以被用作多種用途,但每一個都有"專長". EAX 是"累加器"(accumulator), 它是很多加法乘法指令的缺省寄存器. EBX 是"基底位址"(base)寄存器, 在記憶體定址時存放基底位址. ECX 是計數器(counter), 是重複(REP)首碼指令和LOOP指令的內定計數器. EDX是...(忘了..哈哈)但它總是被用來放整數除法產生的餘數. 這4個寄存器的低16位可以被單獨訪問,分別用AX,BX,CX和DX. AX又可以單獨訪問低8位(AL)和高8位(AH), BX,CX,DX也類似. 函數的返回值經常被放在EAX中. ESI/EDI分別叫做"源/目標索引寄存器"(source/destination index),因為在很多字串操作指令中, DS:ESI指向源串,而ES:EDI指向目標串. EBP是"基址指標"(BASE POINTER), 它最經常被用作高階語言函數調用的"框架指標"(frame pointer). 在破解的時候,經常可以看見一個標準的函數起始代 碼: push ebp ;保存當前ebp mov ebp,esp ;EBP設為當前堆疊指標 sub esp, xxx ;預留xxx位元組給函數臨時變數....
這樣一來,EBP 構成了該函數的一個框架, 在EBP上方分別是原來的EBP, 返回地址和參數. EBP下方則是臨時變數. 函數 返回時作 mov esp,ebp/pop ebp/ret 即可. ESP 專門用作堆疊指標. 2. 段寄存器: CS(Code Segment,代碼段) 指定 當前執行的代碼段. EIP (Instruction pointer, 指令指標)則指向該段中一個具體的指令. CS:EIP指向哪個指令, CPU 就執行它. 一般只能用jmp, ret, jnz, call 等指令來改變程式流程,而不能直接對它們賦值. DS(DATA SEGMENT, 資料段) 指定一個資料段. 注意:在當前的電腦系統中, 代碼和資料沒有本質差別, 都是一串二進位數字, 區別只在於 你如何用它. 例如, CS 制定的段總是被用作代碼, 一般不能通過CS指定的地址去修改該段. 然而,你可以為同一個段 申請一個資料段描述符"別名"而通過DS來訪問/修改. 自修改代碼的程式常如此做. ES,FS,GS 是輔助的段寄存器, 指定 附加的資料段. SS(STACK SEGMENT)指定當前堆疊段. ESP 則指出該段中當前的堆疊頂. 所有push/pop 系列指令都只對SS:ESP指出的位址進行操作. 3. 標誌寄存器(EFLAGS): 該暫存器有32位元,組合了各個系統標誌. EFLAGS一般不作為整 體訪問, 而只對單一的標誌位元感興趣. 常用的標誌有: 進位元標誌C(CARRY), 在加法產生進位或減法有借位時置1, 否 則為0. 零標誌Z(ZERO), 若運算結果為0則置1, 否則為0 符號位元S(SIGN), 若運算結果的最高位置1, 則該位也置1. 溢 出標誌O(OVERFLOW), 若(帶符號)運算結果超出可表示範圍, 則置1. JXX 系列指令就是根據這些標誌來決定是否要跳轉,
從而實現條件分枝. 要注意,很多JXX 指令是等價的, 對應相同的機器碼. 例如, JE 和JZ 是一樣的,都是當Z=1是跳轉.只有JMP 是無條件跳轉. JXX 指令分為兩組, 分別用於無符號操作和帶符號操作. JXX 後面的"XX" 有如下字母: 無符號 操作: 帶符號操作: A = "ABOVE", 表示"高於" G = "GREATER", 表示"大於" B = ELOW", 表示"低於" L = "LESS", 表 示"小於" C = "CARRY", 表示"進位"或"借位" O = "OVERFLOW", 表示"溢出" S = "SIGN", 表示"負" 通用符號: E = "EQUAL" 表示"等於", 等價於Z (ZERO) N = "NOT" 表示"非", 即標誌沒有置位元. 如JNZ "如果Z沒有置位則跳轉" Z = "ZERO", 與E同. 如果仔細想一想,就會發現 JA = JNBE, JAE = JNB, JBE = JNA, JG = JNLE, JGE= JNL, JL= JNGE, .... 4. 埠埠是直接和外部設備通訊的地方。外設接入系統後,系統就會把外設的資料介面映射到特定的埠位址空間,這樣,從該埠讀入資料就是 從外設讀入資料,而向外設寫入資料就是向埠寫入資料。當然這一切都必須遵循外設的工作方式。埠的位址空間與記憶體位 址空間無關,系統總共提供對64K個8位埠的訪問,編號 0-65535. 相鄰的8位埠可以組成成一個16位埠,相鄰的16位埠可以組 成一個32位埠。埠輸入輸出由指令IN,OUT,INS和OUTS實現,具體可參考組合語言書籍。
初級接觸ASM者學習資料(2)

ASM指令的運算元可以是記憶體中的資料, 如何讓程式從記憶體中正確取得所需要的資料就是對記憶體的定址.
INTEL 的CPU 可以工作在兩種定址模式:實模式和保護模式. 前者已經過時,就不講了, WINDOWS 現在是32位元保護模式的系統, PE 檔就基本是運行在一個32位元線性位址空間, 所以這裏就只介紹32位元線性空間的定址方式.
其實線性位址的概念是很直觀的, 就想像一系列位元組排成一長隊,第一個位元組編號為0, 第二個編號位1, .... 一直到4294967295(十六進位FFFFFFFF,這是32位二進位數字所能表達的最大值了). 這已經有4GB的容量! 足夠容納一個程式所有的代碼和資料. 當然, 這並不表示你的機器有那麼多記憶體. 實體記憶體的管理和分配是很複雜的內容, 初學者不必在意, 總之, 從程式本身的角度看, 就好象是在那麼大的記憶體中.
在INTEL系統中, 記憶體位址總是由"段選擇符:有效位址"的方式給出.段選擇符(SELECTOR)存放在某一個段寄存器中, 有效位址則可由不同的方式給出. 段選擇符通過檢索段描述符確定段的起始位址, 長度(又稱段限制), 粒度, 存取許可權, 訪問性質等. 先不用深究這些, 只要知道段選擇符可以確定段的性質就行了. 一旦由選擇符確定了段, 有效位址相對于段的基底位址開始算. 比如由選擇符1A7選擇的資料段, 其基底位址是400000, 把1A7 裝入DS中, 就確定使用該資料段. DS:0 就指向線性位址400000. DS:1F5278 就指向線性位址5E5278. 我們在一般情況下, 看不到也不需要看到段的起始位址, 只需要關心在該段中的有效位址就行了. 在32位元系統中, 有效位址也是由32位元數字表示, 就是說, 只要有一個段就足以涵蓋4GB線性位址空間, 為什麼還要有不同的段選擇符呢? 正如前面所說的, 這是為了對資料進行不同性質的訪問. 非法的訪問將產生異常中斷, 而這正是保護模式的核心內容, 是構造優先順序和多工系統的基礎. 這裏有涉及到很多深層的東西, 初學者先可不必理會.
有效位址的計算方式是: 基址+間址*比例因數+偏移量. 這些量都是指段內的相對于段起始位址的量度, 和段的起始位址沒有關係. 比如, 基址=100000, 間址=400, 比例因數=4, 偏移量=20000, 則有效位址為:
100000+400*4+20000=100000+1000+20000=121000. 對應的線性位址是400000+121000=521000. (注意, 都是十六進位數).
基址可以放在任何32位通用寄存器中, 間址也可以放在除ESP外的任何一個通用寄存器中. 比例因數可以是1, 2, 4 或8. 偏移量是立即數. 如: [EBP+EDX*8+200]就是一個有效的有效位址運算式. 當然, 多數情況下用不著這麼複雜, 間址,比例因數和偏移量不一定要出現.
記憶體的基本單位是位元組(BYTE). 每個位元組是8個二進位位元, 所以每個位元組能表示的最大的數是11111111, 即十進位的255. 一般來說, 用十六進位比較方便, 因為每4個二進位位元剛好等於1個十六進位位, 11111111b = 0xFF. 記憶體中的位元組是連續存放的, 兩個位元組構成一個字(WORD), 兩個字構成一個雙字(DWORD). 在INTEL架構中, 採用small endian格式, 即在記憶體中,高位位元組在低位元位元組後面. 舉例說明:十六進位數803E7D0C, 每兩位元是一個位元組, 在記憶體中的形式是: 0C 7D 3E 80. 在32位寄存器中則是正常形式,如在EAX就是803E7D0C. 當我們的形式位址指向這個數的時候,實際上是指向第一個位元組,即0C. 我們可以指定訪問長度是位元組, 字或者雙字. 假設DS:[EDX]指向第一個位元組0C:
mov AL, byte ptr DS:[EDX] ;把位元組0C存入AL
mov AX, word ptr DS:[EDX] ;把字7D0C存入AX
mov EAX, dword ptr DS:[EDX] ;把雙字803E7D0C存入EAX
在段的屬性中,有一個就是缺省訪問寬度.如果缺省訪問寬度為雙字(在32位元系統中經常如此),那麼要進行位元組或字的訪問,就必須用byte/word ptr顯式地指明.
缺省段選擇:如果指令中只有作為段內偏移的有效位址,而沒有指明在哪一個段裏的時候,有如下規則:
如果用ebp和esp作為基址或間址,則認為是在SS確定的段中;
其他情況,都認為是在DS確定的段中。
如果想打破這個規則,就必須使用段超越首碼。舉例如下:
mov eax, dword ptr [edx] ;缺省使用DS,把DS:[EDX]指向的雙字送入eax
mov ebx, dword ptr ES:[EDX] ;使用ES:段超越首碼,把ES:[EDX]指向的雙字送入ebx
堆疊:
堆疊是一種資料結構,嚴格地應該叫做“棧”。“堆”是另一種類似但不同的結構。SS 和 ESP 是INTEL對棧這種資料結構的硬體支援。push/pop指令是專門針對棧結構的特定操作。SS指定一個段為棧段,ESP則指出當前的棧頂。push xxx 指令作如下操作:
把ESP的值減去4;
把xxx存入SS:[ESP]指向的記憶體單元。
這樣,esp的值減小了4,並且 SS:[ESP]指向新壓入的xxx. 所以棧是“倒著長”的,從高位址向低位址方向擴展。pop yyy 指令做相反的操作,把SS:[ESP]指向的雙字送到yyy指定的寄存器或記憶體單元,然後把esp的值加上4。這時,認為該值已被彈出,不再在棧上了,因為它雖然還暫時存在在原來的棧頂位置,但下一個push操作就會把它覆蓋。因此,在棧段中位址低於esp的記憶體單元中的資料均被認為是未定義的。
最後,有一個要注意的事實是,組合語言是面向機器的,指令和機器碼基本上是一一對應的,所以它們的實現取決於硬體.有些看似合理的指令實際上是不存在的,比如:
mov DS:[edx], ds:[ecx] ;記憶體單元之間不能直接傳送
mov DS, 1A7 ;段寄存器不能直接由立即數賦值
mov EIP, 3D4E7 ;不能對指令指標直接操作.
初級接觸ASM者學習資料(3)

“ 組合語言”作為一門語言,對應於高階語言的編譯器,我們需要一個“ASM器”來把組合語言原文件ASM成機器可執行的代碼。高級的ASM器如MASM, TASM等等為我們寫組合語言程式提供了很多類似於高階語言的特徵,比如結構化、抽象等。在這樣的環境中編寫的組合語言程式,有很大一部分是面向ASM器的虛擬指令,已經類同於高階語言。現在的ASM環境已經如此高級,即使全部用組合語言來編寫windows的應用程式也是可行的,但這不是組合語言的長處。組合語言的長處在於編寫高效且需要對機器硬體精確控制的程式。而且我想這裏的人學習ASM的目的多半是為了在破解時看懂反編譯代碼,很少有人真的要拿組合語言編程式吧?(汗......)

好了,言歸正傳。大多數組合語言書都是面向組合語言編程的,我的帖是面向機器和反編譯的,希望能起到相輔相成的作用。有了前面兩篇的基礎,組合語言書上對大多數指令的介紹應該能夠看懂、理解了。這裏再講一講一些常見而操作比較複雜的指令。我這裏講的都是機器的硬指令,不針對任何ASM器。

無條件轉移指令jmp:

這種跳轉指令有三種方式:短(short),近(near)和遠(far)。短是指要跳至的目標位址與當前位址前後相差不超過128位元組。近是指跳轉的目標位址與當前位址在用一個段內,即CS的值不變,只改變EIP的值。遠指跳到另一個代碼段去執行,CS/EIP都要改變。短和近在編碼上有所不同,在ASM指令中一般很少顯式指定,只要寫 jmp 目標位址,幾乎任何ASM器都會根據目標位址的距離採用適當的編碼。遠轉移在32位元系統中很少見到,原因前面已經講過,由於有足夠的線性空間,一個程式很少需要兩個代碼段,就連用到的系統模組也被映射到同一個位址空間。

jmp的運算元自然是目標位址,這個指令支援直接定址和間接定址。間接定址又可分為寄存器間接定址和記憶體間接定址。舉例如下(32位元系統):

jmp 8E347D60 ;直接定址段內跳轉
jmp EBX ;寄存器間接定址:只能段內跳轉
jmp dword ptr [EBX] ;記憶體間接定址,段內跳轉
jmp dword ptr [00903DEC] ;同上
jmp fward ptr [00903DF0] ;記憶體間接定址,段間跳轉

解釋:
在32位元系統中,完整目標位址由16位元段選擇子和32位偏移量組成。因為寄存器的寬度是32位,因此寄存器間接定址只能給出32位偏移量,所以只能是段內近轉移。在記憶體間接定址時,指令後面是方括號內的有效位址,在這個位址上存放跳轉的目標位址。比如,在[00903DEC]處有如下資料:7C 82 59 00 A7 01 85 65 9F 01

記憶體位元組是連續存放的,如何確定取多少作為目標位址呢?dword ptr 指明該有效位址指明的是雙字,所以取
0059827C作段內跳轉。反之,fward ptr 指明後面的有效位址是指向48位完全位址,所以取19F:658501A7 做遠跳轉。

注意:在保護模式下,如果段間轉移涉及優先順序的變化,則有一系列複雜的保護檢查,現在可不加理會。將來等各位功力提升以後可以自己去學習。

條件轉移指令jxx:只能作段內轉移,且只支援直接定址。

=========================================
調用指令CALL:

Call的定址方式與jmp基本相同,但為了從副程式返回,該指令在跳轉以前會把緊接著它的下一條指令的位址壓進堆疊。如果是段內調用(目標位址是32位元偏移量),則壓入的也只是一個偏移量。如果是段間調用(目標位址是48位元全位址),則也壓入下一條指令的完全位址。同樣,如果段間轉移涉及優先順序的變化,則有一系列複雜的保護檢查。

與之對應retn/retf指令則從副程式返回。它從堆疊上取得返回位址(是call指令壓進去的)並跳到該位址執行。retn取32位偏移量作段內返回,retf取48位全地址作段間返回。retn/f 還可以跟一個立即數作為運算元,該數實際上是從堆疊上傳給副程式的參數的個數(以字計)返回後自動把堆疊指標esp加上指定的數*2,從而丟棄堆疊中的參數。這裏具體的細節留待下一篇講述。

雖然call和ret設計為一起工作,但它們之間沒有必然的聯繫。就是說,如果你直接用push指令向堆疊中壓入一個數,然後執行ret,他同樣會把你壓入的數作為返回位址,而跳到那裏去執行。這種非正常的流程轉移可以被用作反跟蹤手段。
==========================================
中斷指令INT n

在保護模式下,這個指令必定會被作業系統截獲。在一般的PE程式中,這個指令已經不太見到了,而在DOS時代,中斷是調用作業系統和BIOS的重要途徑。現在的程式可以文質彬彬地用名字來調用windows功能,如 call user32!getwindowtexta。從程式角度看,INT指令把當前的標誌寄存器先壓入堆疊,然後把下一條指令的完全位址也壓入堆疊,最後根據運算元n來檢索“中斷描述符表”,試圖轉移到相應的中斷服務程式去執行。通常,中斷服務程式都是作業系統的核心代碼,必然會涉及到優先順序轉換和保護性檢查、堆疊切換等等,細節可以看一些高級的教程。

與之相應的中斷返回指令IRET做相反的操作。它從堆疊上取得返回位址,並用來設定CS:EIP,然後從堆疊中彈出標誌寄存器。注意,堆疊上的標誌寄存器值可能已經被中斷服務程式所改變,通常是進位元標誌C, 用來表示功能是否正常完成。同樣的,IRET也不一定非要和INT指令對應,你可以自己在堆疊上壓入標誌和位址,然後執行IRET來實現流程轉移。實際上,多工作業系統常用此伎倆來實現任務轉換。

廣義的中斷是一個很大的話題,有興趣可以去查閱系統設計的書籍。

============================================
裝入全指標指令LDS,LES,LFS,LGS,LSS

這些指令有兩個運算元。第一個是一個通用寄存器,第二個運算元是一個有效位址。指令從該位址取得48位全指標,將選擇符裝入相應的段寄存器,而將32位偏移量裝入指定的通用寄存器。注意在記憶體中,指標的存放形式總是32位偏移量在前面,16位選擇符在後面。裝入指標以後,就可以用DS:[ESI]這樣的形式來訪問指標指向的資料了。

============================================
字串操作指令

這裏包括CMPS,SCAS,LODS,STOS,MOVS,INS和OUTS等。這些指令有一個共同的特點,就是沒有顯式的運算元,而由硬體規定使用DS:[ESI]指向源字串,用ES:[EDI]指向目的字串,用AL/AX/EAX做暫存。這是硬體規定的,所以在使用這些指令之前一定要設好相應的指針。
這裏每一個指令都有3種寬度形式,如CMPSB(位元組比較)、CMPSW(字比較)、CMPSD(雙字比較)等。
CMPSB:比較源字串和目標字串的第一個字元。若相等則Z標誌置1。若不等則Z標誌置0。指令執行完後,ESI 和EDI都自動加1,指向源/目標串的下一個字元。如果用CMPSW,則比較一個字,ESI/EDI自動加2以指向下一個字。
如果用CMPSD,則比較一個雙字,ESI/EDI自動加4以指向下一個雙字。(在這一點上這些指令都一樣,不再贅述)
SCAB/W/D 把AL/AX/EAX中的數值與目標串中的一個字元/字/雙字比較。
LODSB/W/D 把源字串中的一個字元/字/雙字送入AL/AX/EAX
STOSB/W/D 把AL/AX/EAX中的直送入目標字串中
MOVSB/W/D 把源字串中的字元/字/雙字複製到目標字串
INSB/W/D 從指定的埠讀入字元/字/雙字到目標字串中,埠號碼由DX寄存器指定。
OUTSB/W/D 把源字串中的字元/字/雙字送到指定的埠,埠號碼由DX寄存器指定。

串操作指令經常和重複首碼REP和迴圈指令LOOP結合使用以完成對整個字串的操作。而REP首碼和LOOP指令都有硬體規定用ECX做迴圈計數器。舉例:

LDS ESI,SRC_STR_PTR
LES EDI,DST_STR_PTR
MOV ECX,200
REP MOVSD

上面的代碼從SRC_STR拷貝200個雙字到DST_STR. 細節是:REP首碼先檢查ECX是否為0,若否則執行一次MOVSD,ECX自動減1,然後執行第二輪檢查、執行......直到發現ECX=0便不再執行MOVSD,結束重複而執行下麵的指令。


LDS ESI,SRC_STR_PTR
MOV ECX,100
LOOP1:
LODSW
.... (deal with value in AX)

LOOP LOOP1
.....

從SRC_STR處理100個字。同樣,LOOP指令先判斷ECX是否為零,來決定是否迴圈。每迴圈一輪ECX自動減1。

REP和LOOP 都可以加上條件,變成REPZ/REPNZ 和 LOOPZ/LOOPNZ. 這是除了ECX外,還用檢查零標誌Z. REPZ 和LOOPZ在Z為1時繼續迴圈,否則退出迴圈,即使ECX不為0。REPNZ/LOOPNZ則相反。

初級接觸ASM者學習資料(4)

高階語言程式的ASM解析

在高階語言中,如C和PASCAL等等,我們不再直接對硬體資源進行操作,而是面向於問題的解決,這主要體現在資料抽象化和程式的結構化。例如我們用變數名來存取資料,而不再關心這個資料究竟在記憶體的什麼地方。這樣,對硬體資源的使用方式完全交給了編譯器去處理。不過,一些基本的規則還是存在的,而且大多數編譯器都遵循一些規範,這使得我們在閱讀反編譯代碼的時候日子好過一點。這裏主要講講ASM代碼中一些和高階語言對應的地方。

1. 普通變數。通常聲明的變數是存放在記憶體中的。編譯器把變數名和一個記憶體位址聯繫起來(這裏要注意的是,所謂的“確定的位址”是對編譯器而言在編譯階段算出的一個臨時的位址。在連接成可執行檔並載入到記憶體中執行的時候要進行重定位等一系列調整,才生成一個即時的記憶體位址,不過這並不影響程式的邏輯,所以先不必太在意這些細節,只要知道所有的函數名字和變數名字都對應一個記憶體的位址就行了),所以變數名在ASM代碼中就表現為一個有效位址,就是放在方括號中的運算元。例如,在C檔中聲明:

int my_age;

這個整型的變數就存在一個特定的記憶體位置。語句 my_age= 32; 在反ASM代碼中可能表現為:

mov word ptr [007E85DA], 20

所以在方括號中的有效位址對應的是變數名。又如:

char my_name[11] = "lianzi2000";

這樣的說明也確定了一個位址,對應於my_name. 假設位址是007E85DC,則記憶體中[007E85DC]='l',[007E85DD]='i', etc. 對my_name的訪問也就是對這位址處的資料訪問。

指標變數其本身也同樣對應一個位址,因為它本身也是一個變數。如:

char *your_name;

這時也確定變數"your_name"對應一個記憶體位址,假設為007E85F0. 語句your_name=my_name;很可能表現為:

mov [007E85F0], 007E85DC ;your_name的內容是my_name的位址。

2. 寄存器變數

在C和C++中允許說明寄存器變數。register int i; 指明i是寄存器存放的整型變數。通常,編譯器都把寄存器變數放在esi和edi中。寄存器是在cpu內部的結構,對它的訪問要比記憶體快得多,所以把頻繁使用的變數放在寄存器中可以提高程式執行速度。

3. 陣列

不管是多少維的陣列,在記憶體中總是把所有的元素都連續存放,所以在記憶體中總是一維的。例如,int i_array[2][3]; 在記憶體確定了一個位址,從該位址開始的12個位元組用來存貯該陣列的元素。所以變數名i_array對應著該陣列的起始位址,也即是指向陣列的第一個元素。存放的順序一般是i_array[0][0],[0][1],[0][2],[1][0],[1][1],[1][2] 即最右邊的下標變化最快。當需要訪問某個元素時,程式就會從多維索引值換算成一維索引,如訪問i_array[1][1],換算成記憶體中的一維索引值就是1*3+1=4.這種換算可能在編譯的時候就可以確定,也可能要到執行時才可以確定。無論如何,如果我們把i_array對應的位址裝入一個通用寄存器作為基址,則對陣列元素的訪問就是一個計算有效位址的問題:

; i_array[1][1]=0x16

lea ebx,xxxxxxxx ;i_array 對應的位址裝入ebx
mov edx,04 ;訪問i_array[1][1],編譯時就已經確定
mov word ptr [ebx+edx*2], 16 ;

當然,取決於不同的編譯器和程式上下文,具體實現可能不同,但這種基本的形式是確定的。從這裏也可以看到比例因數的作用(還記得比例因數的取值為1,2,4或8嗎?),因為在目前的系統中簡單變數總是佔據1,2,4或者8個位元組的長度,所以比例因數的存在為在記憶體中的查表操作提供了極大方便。

4. 結構和物件

結構和物件的成員在記憶體中也都連續存放,但有時為了在字邊界或雙字邊界對齊,可能有些微調整,所以要確定物件的大小應該用sizeof操作符而不應該把成員的大小相加來計算。當我們聲明一個結構變數或初始化一個物件時,這個結構變數和物件的名字也對應一個記憶體位址。舉例說明:
struct tag_info_struct
{
int age;
int sex;
float height;
float weight;
} marry;

變數marry就對應一個記憶體位址。在這個位址開始,有足夠多的位元組(sizeof(marry))容納所有的成員。每一個成員則對應一個相對於這個位址的偏移量。這裏假設此結構中所有的成員都連續存放,則age的相對位址為0,sex為2, height 為4,weight為8。

; marry.sex=0;

lea ebx,xxxxxxxx ;marry 對應的記憶體位址
mov word ptr [ebx+2], 0
......

物件的情況基本相同。注意成員函數具體的實現在代碼段中,在物件中存放的是一個指向該函數的指標。


5. 函數調用

一個函數在被定義時,也確定一個記憶體位址對應於函數名字。如:

long comb(int m, int n)
{
long temp;
.....

return temp;
}

這樣,函數comb就對應一個記憶體位址。對它的調用表現為:

CALL xxxxxxxx ;comb對應的位址。這個函數需要兩個整型參數,就通過堆疊來傳遞:

;lresult=comb(2,3);

push 3
push 2
call xxxxxxxx
mov dword ptr [yyyyyyyy], eax ;yyyyyyyy是長整型變數lresult的位址

這裏請注意兩點。第一,在C語言中,參數的壓棧順序是和參數順序相反的,即後面的參數先壓棧,所以先執行push 3. 第二,在我們討論的32位元系統中,如果不指明參數類型,缺省的情況就是壓入32位元雙字。因此,兩個push指令總共壓入了兩個雙字,即8個位元組的資料。然後執行call指令。call 指令又把返回位址,即下一條指令(mov dword ptr....)的32位位址壓入,然後跳轉到xxxxxxxx去執行。

在comb副程式入口處(xxxxxxxx),堆疊的狀態是這樣的:

03000000 (請回憶small endian 格式)
02000000
yyyyyyyy <--ESP 指向返回地址 前面講過,副程式的標準起始代碼是這樣的: push ebp ;保存原先的ebp mov ebp, esp;建立框架指針 sub esp, XXX;給臨時變數預留空間 ..... 執行push ebp之後,堆疊如下: 03000000 02000000 yyyyyyyy old ebp <---- esp 指向原來的ebp 執行mov ebp,esp之後,ebp 和esp 都指向原來的ebp. 然後sub esp, xxx 給臨時變數留空間。這裏,只有一個臨時變數temp,是一個長整數,需要4個位元組,所以xxx=4。這樣就建立了這個子程式的框架: 03000000 02000000 yyyyyyyy old ebp <---- 當前ebp指向這裏 temp 所以副程式可以用[ebp+8]取得第一參數(m),用[ebp+C]來取得第二參數(n),以此類推。臨時變數則都在ebp下面,如這裏的temp就對應於[ebp-4]. 副程式執行到最後,要返回temp的值: mov eax,[ebp-04] 然後執行相反的操作以撤銷框架: mov esp,ebp ;這時esp 和ebp都指向old ebp,臨時變數已經被撤銷 pop ebp ;撤銷框架指針,恢復原ebp. 這是esp指向返回位址。緊接的retn指令返回主程序: retn 4 該指令從堆疊彈出返回位址裝入EIP,從而返回到主程序去執行call後面的指令。同時調整 esp(esp=esp+4*2),從而撤銷參數,使堆疊恢復到調用副程式以前的狀態,這就是堆疊的平衡。調用副程式前後總是應該維持堆疊的平衡。從這裏也可以看到,臨時變數temp已經隨著副程式的返回而消失,所以試圖返回一個指向臨時變數的指標是非法的。 為了更好地支援高階語言,INTEL還提供了指令Enter 和Leave 來自動完成框架的建立和撤銷。Enter 接受兩個運算元,第一個指明給臨時變數預留的位元組數,第二個是副程式嵌套調用層數,一般都為0。enter xxx,0 相當於: push ebp mov ebp,esp sub esp,xxx leave 則相當於: mov esp,ebp pop ebp ============================================================= 好啦,我的學習心得講完了,謝謝各位的抬舉。教程是不敢當的,因為我也是個大菜鳥。如果這些東東能使你們的學習輕鬆一些,進步快一些,本菜鳥就很開心了。

--> 閱讀更多...