用户态应用程序特权级转换的研究与实现

第２９卷第８期　２００６年８月　合肥工业大学学报（自然科学版）　

ＪＯＵＲＮＡＬ　ＯＦ　ＨＥＦＥＩ　ＵＮＩＶＥＲＳＩＴＹ　ＯＦ　ＴＥＣＨＮＯＬＯＧＹ　Ｖｏ１．２９　Ｎｏ．８　

Ａｕｇ．２００６　

用户态应用程序特权级转换的研究与实现　汪明光　（南京大学大气科学系，江苏南京２１００９３）　

摘要：通过分析虚拟内存保护模式下特权保护原理，研究用户态应用程序特权级转换的一种途径一一中断　门；提出了在中断门中添加新的软件中断钩子扩展系统功能的方法，并给出用汇编语言编写软件中断钩子的　代码；实际应用表明，在应用程序中只要内嵌该软件中断钩子，就可进入系统内核态，实现低特权代码访问高　特权级资源。　关键词：保护模式；特权转换；中断门；软件中断钩子　中图分类号：ＴＰ３１　１．５２　文献标识码：Ａ　文章编号：１００３—５０６０（２００６）０８—０９９６—０５　

Ｒｅｓｅａｒｃｈ　ｏｎ　ｐｒｉｖｉｌｅｇｅ　ｌｅｖｅｌ　ｔｒａｎｓｆｏｒｍａｔｉｏｎ　ｏｆ　ｔｈｅ　ａｐｐｌｉｃａｔｉｏｎ　ｉｎ　ｔｈｅ　ｕｓｅｒ　ｍｏｄｅ　ａｎｄ　ｉｔｓ　ｉｍｐｌｅｍｅｎｔａｔｉｏｎ　

ＷＡＮＧ　Ｍｉｎｇ－ｇｕａｎｇ　（Ｄｅｐｔ．ｏｆ　Ａｔｍｏｓｐｈｅｒｉｃ　Ｓｃｉｅｎｃｅｓ，Ｎａｎｊｉｎｇ　Ｕｎｉｖｅｒｓｉｔｙ，Ｎａｎｊｉｎｇ　２１００９３，Ｃｈｉｎａ）　

Ａｂｓｔｒａｃｔ：Ｔｈｅ　ｐｒｉｖｉｌｅｇｅ　ｐｒｏｔｅｃｔｉｏｎ　ｐｒｉｎｃｉｐｌｅ　ｉｎ　ｔｈｅ　ｖｉｒｔｕａｌ　ｍｅｍｏｒｙ　ｐｒｏｔｅｃｔｅｄ　ｍｏｄｅ　ｉｓ　ａｎａｌｙｚｅｄ，ａｎｄ　ａｎ　ａｐｐｒｏａｃｈ　ｔｏ　ｐｒｉｖｉｌｅｇｅ　ｌｅｖｅｌ　ｔｒａｎｓｆｏｒｍａｔｉｏｎ　ｏｆ　ｔｈｅ　ａｐｐｌｉｃａｔｉｏｎ　ｉｎ　ｔｈｅ　ｕｓｅｒ　ｍｏｄｅ，ｔｈｅ　ｉｎｔｅｒｒｕｐｔ　ｇａｔｅ，ｉｓ　ｒｅ—　ｓｅａｒｃｈｅｄ．Ｉｔ　ｉｓ　ｐｕｔ　ｆｏｒｗａｒｄ　ｔｈａｔ　ｎｅｗ　ｓｏｆｔｗａｒｅ　ｉｎｔｅｒｒｕｐｔ　ｈｏｏｋｓ　ｃａｎ　ｂｅ　ａｄｄｅｄ　ｉｎ　ｔｈｅ　ｉｎｔｅｒｒｕｐｔ　ｇａｔｅ　ＳＯ　ａｓ　ｔｏ　ｅｘｐａｎｄ　ｔｈｅ　ｓｙｓｔｅｍ’Ｓ　ｆｕｎｃｔｉｏｎｓ．Ｔｈｅ　ｓｏｕｒｃｅ　ｃｏｄｅ　ｏｆ　ｔｈｅ　ｓｏｆｔｗａｒｅ　ｉｎｔｅｒｒｕｐｔ　ｈｏｏｋ　ｉｓ　ｇｉｖｅｎ　ｗｉｔｈ　ｔｈｅ　ａｓ—　ｓｅｍｂｌｙ　ｌａｎｇｕａｇｅ．Ｅｍｂｅｄｄｉｎｇ　ｔｈｅ　ｐｒｅｓｅｎｔｅｄ　ｉｎｔｅｒｒｕｐｔ　ｈｏｏｋ　ｉｎ　ａｐｐｌｉｃａｔｉｏｎｓ　ｃａｎ　ｍａｋｅ　ｔｈｅ　ｐｒｏｇｒａｍｓ　ｅｎ－　ｔｅｒ　ｔｈｅ　ｓｙｓｔｅｍ’Ｓ　ｋｅｒｎｅｌ　ｍｏｄｅ，ｔｈｕｓ　ｒｅａｌｉｚｉｎｇ　ｔｈｅ　ｌｏｗ　ｐｒｉｖｉｌｅｇｅ　ｌｅｖｅｌ　ｃｏｄｅ＇ｓ　ｖｉｓｉｔｉｎｇ　ｏｆ　ｔｈｅ　ｈｉｇｈ　ｐｒｉｖｉｌｅｇｅ　ｌｅｖｅｌ　ｒｅｓｏｕｒｃｅｓ．　Ｋｅｙ　ｗｏｒｄｓ：ｐｒｏｔｅｃｔｅｄ　ｍｏｄｅ　ｐｒｉｖｉｌｅｇｅ　ｔｒａｎｓｆｏｒｍａｔｉｏｎ；ｉｎｔｅｒｒｕｐｔ　ｇａｔｅ；ｓｏｆｔｗａｒｅ　ｉｎｔｅｒｒｕｐｔ　ｈｏｏｋ　

为了防止应用程序之间的相互干扰以至破坏　操作系统，保证应用程序之间以及操作系统与应　用程序之间代码和数据的安全隔离，为多任务操　作提供有力的支持，从８０２８６起，Ｉｎｔｅｌ公司的　ＣＰＵ引人了４个特权级（Ｐｒｉｖｉｌｅｇｅ　ｌｅｖｅ１）：ｒｉｎｇＯ、　ｒｉｎｇｌ、ｒｉｎｇ２和ｒｉｇｎ３。其中，ｒｉｎｇ０为最高级；　ｒｉｎｇ３为最低级，处于某特权级的代码只能访问同　级或较低特权级的数据或代码。Ｗｉｎ３２（ｗｉｎ—　ｄｏｗｓ９Ｘ／ＮＴ／２０００）操作系统运行在特权级　ｒｉｎｇＯ，可以使用系统的所有资源，而用户态程序　运行在ｒｉｎｇ３级，只能访问自己的地址空间。　在Ｗｉｎ３２系统的架构下，使用面向机器的汇　编语言编写的应用程序因受特权的限制，不能运　行操作系统限制的特权级指令，包括对一些重要　端口的读写，否则就会引发程序异常。在保护方　式下，为了实现用户态应用程序能够调用操作系　统的所有资源，如申请Ｉ／０操作、硬件端口的读　写等，３２位处理器引人了一种特殊的特权转换机　制——门，通过门用户可以实现低特权级向高特　权级转换。通过在中断描述符表中增加新的中断　

收稿日期：２００５—０９—０８　作者简介：汪明光（１９６８一），男，安徽无为人，安徽省巢湖市气象局工程师．　

维普资讯 http://www.cqvip.com 第８期　汪明光：用户态应用程序特权级转换的研究与实现　９９７　门，提供软件中断钩子，实现用户态应用程序运行　在特权级ｒｉｎｇ０上，进行某些特权操作口　。　

１特权转换的基本原理　１．１保护模式下的特权访问　所谓保护，主要是对内存的保护。保护模式　是３２位ＣＰＵ的主要工作模式，在此模式下，全部　地址线都能寻址，并提供对程序和数据进行安全　检查的保护机制。　在采用分段和分页制度下，内存段用段描述　符表示，用于说明内存段的３２位基地址、长度以　及访问权限。段寄存器的值是段描述符表的一个　指针，表示段描述符在描述符表中的索引。在３２　位保护模式下程序使用的逻辑地址是由１６位段　地址和３２位偏移地址组成。通过段地址在描述　符表中选取相应的段描述符，将段描述符中的段　基地址与偏移地址相加得到线性地址。如果未启　动分页机制，那么线性地址就是物理地址，否则线　性地址经过分页部件处理后，才能得到物理地址。　因此对于同一虚拟地址，在不同程序中通常对应　着不同的物理地址。３２位保护模式的特权分为　以下几种　：　（１）任务特权ＣＰＬ。任务在当前运行时的特　权（Ｃｕｒｒｅｎｔ　Ｐｒｉｖｉｌｅｇｅ　Ｌｅｖｅ１），它决定该任务的特　权级别。一个任务的ＣＰＬ如果要改变，必须通过　门机制。如果一个ＣＰＬ－－３的应用程序通过门调　用一个ＰＬ＝Ｏ的操作系统子程序，在执行这个子　程序时，当前任务的特权ＣＰＬ＝０。　（２）描述符特权ＤＰＬ。描述符所表示的内存　段的特权级（Ｄｅｓｃｒｉｐｔｏｒ　Ｐｒｉｖｉｌｅｇｅ　Ｌｅｖｅ１），由描述　符访问权字节规定。ＤＰＬ规定了访问内存段任　务的最低特权级，即只有满足ＣＰＬ≤ＤＰＬ时，当　前任务才能访问该内存段。　（３）选择子特权ＲＰＬ。选择子是段寄存器的　值，每一个任务是通过选择子来寻找段的描述符，　选择子的最低两位确定了选择子的特权（Ｒｅ—　ｑｕｉｒｅｄ　Ｐｒｉｖｉｌｅｇｅ　Ｌｅｖｅ１）。对于一个任务而言，只　有ＣＰＩ　和ＲＰＬ的最大值ｍａｘ（ＣＰＬ，ＲＰＩ　）≤　ＤＰＬ时，任务才能访问该内存段。　（４）Ｉ／Ｏ特权ＩＯＰＬ。在保护模式下，１／Ｏ指　令是敏感指令，ＩＯＰＬ的值可以由在特权级０下　运行的程序用指令设置。在ＣＰＬ＞ＩＯＰＬ时，如　果执行ＩＮ、ＩＮＳ、０ＵＴＳ、ＳＴ１和ＣＩ　Ｉ等１／０指令，　就会产生异常１３。　１．２　Ｗｉｎｄｏｗｓ门机制简介　按照特权级的规定，低特权级程序不能访问　高特权级的软硬件资源。然而应用程序常常需要　调用系统高特权级服务程序，直接访问系统所有　资源。为此８０Ｘ８６系统引入了特殊的机制——　门（Ｇａｔｅ）。门是指向某个高特权级程序代码的入　口处，是低特权级代码调用高特权级程序必须经　过的中间环节，包括中断门、调用门等。当系统发　生中断或异常时，处理器会捕捉这个动作，并将系　统控制转移到一个固定的处理程序处进行相应的　操作处理。在处理器开始处理发生的中断或异常　前，必须保存一些处理器环境参数到堆栈中，以备　系统还原时使用。系统是通过一种称为陷阱帧的　方式来实现的，它将系统中全部线程环境数据保　存到内核堆栈中，在执行后通过堆栈的出栈机制　将环境恢复到系统控制流程的执行点。　需要指出的是，在Ｗｉｎｄｏｗｓ系统引入分页、　分段和虚拟存储机制后，就存在一种调度机制，将　需要执行的代码和数据调入内存，将不需要的数　据调到外存中（辅助存储器，如硬盘等）。如果在　执行某些代码时发现需要的数据不在内存中，就　会发出一个“缺页中断”，这时系统就会在ＩＤＴ中　搜寻这个中断的１ＳＲ（Ｉｎｔｅｒｒｕｐｔ　Ｓｅｒｖｉｃｅ　Ｒｏｕｔｉｎｅ，　中断服务例程），执行相应的调入工作。由于中断　描述符表所处的内存位置不是固定的，一旦中断　描述符表被调出内存，系统将无法定位“缺页中　断”的服务例程，至此系统将会崩溃　Ｊ。　１．３中断处理及其流程　１．３．１　中断处理　中断是系统中随机发生的异步事件，与当前　系统的处理器状态无关。中断分为硬件中断和软　件中断。硬件中断是与硬件相关的，比如Ｉ／０设　备执行的某些操作，处理器时钟或硬件端口上的　处理等。软件中断则是通过中断指令ＩＮＴＸＸ引　入的，它往往是应用程序在用户模式执行后进入　操作系统的代码，这时系统为用户提供了各种各　样的系统服务。　在保护模式下，３２位处理器的中断系统引入　了描述符结构，用中断描述符表代替１６位处理器　的中断向量表。中断服务程序的入口地址不再是　

维普资讯 http://www.cqvip.com ９９８　合肥工业大学学报（自然科学版）　第２９卷　中断向量表４个字节的分段地址。每个中断都对　应１个８字节的门描述符，所有门描述符（最多　２５６个）组成１个中断描述符表ＩＤＴ（Ｉｎｔｅｒｒｕｐｔ　Ｄｅｓｃｒｉｐｔｏｒ　Ｔａｂｌｅ），是一个可容纳８　１９２个单元的　数组。在ＩＤＴ中门可分为４种：中断ｆ－１（Ｉｎｔｅｒ—　ｒｕｐｔ　Ｇａｔｅ）、陷阱门（Ｔｒａｐ　Ｇａｔａ）、调用门和任务　门　（Ｔａｓｋ　Ｇａｔｅ），本文只考虑ＩＤＴ的中断门。　１．３．２　中断处理流程　应用程序运行在用户模式（Ｒｉｎｇ３）下，而中断　描述符表ＩＤＴ存在于内核模式（Ｒｉｎｇ０）才可以访　应　用　程　序　执行ＩＮＴ　ＸＸ　Ｌ＿．Ｊ根据中断号　开始中断　ｌ　ｌ进行地址转换　ＰＯＰ　ＳＳ：ＥＳＰ　ＰＯＰ　ＦＬＡＧＳ　ＰＯＰ　Ｃ　Ｓ：ＥＳＰ　在血　级　执行中断例程　执行ｉｒｅｔｄ　问的系统地址空间内。在软件中断发生后，处理　器先检查中断门的权限等级，看是否允许Ｒｉｎｇ３　下的应用程序调用，这样操作系统就可以保留对　软件中断调用控制的权力，而硬件中断和异常并　不关注权限问题。然后处理器将用户模式下线程　环境保存起来执行中断服务历程后，系统将保存　在堆栈中的线程环境数据还原，待系统恢复中断　指令执行前的环境后，继续执行应用程序的后续　代码。　中断处理流程，如图１所示。　

图１中断处理流程　１．４　中断处理的数据结构和指令　１．４．１　中断描述符　在保护模式中，系统不再使用简单的中断向　量处理中断程序，而是引入了中断描述符。系统　中的每个中断对应一个中断描述符，每个中断描　述符占８个字节，其结构如图２所示　］。　

ｌ中断处理代码偏移地址的低１６位（Ａ　１５￣Ａ０）Ｉ　１　目标选择器　１