保护模式笔记七 CALL 长调用与短调用

白刃玄衣及

前言

全部保护模式索引链接：保护模式笔记一 保护模式介绍
在先前的保护模式笔记六 代码跨段跳转中学习了远跳转：JUMP FAR指令
但如果想要实现跨段的调用就需要学习长调用：CALL FAR指令
短调用

短调用指令格式

CALL 立即数/寄存器/内存
指令类型指令例子对应硬编码CALL 立即数call 52610610E8 F4560A52CALL 寄存器call eaxFFD0CALL 内存call dword ptr ds:[0x52610610]FF15 10066152短调用堆栈变化

关于短调用，其实在先前的逆向基础笔记七 堆栈图（重点）中，就已经分析过短调用堆栈的变化（不了解的可以回首）
这里再简单地过一遍：
用OD恣意打开一个程序

记录下此时的堆栈情况
相对ESP地点堆栈地点内容ESP-80012FFBC00000009ESP-40012FFC00012FFF8ESP0012FFC47C817077ESP+40012FFC8005BFF80ESP+80012FFCC0012B750按F7单步步入CALL

此时的堆栈情况为
相对ESP地点堆栈地点内容ESP-80012FFBC00000009ESP0012FFC00056AF17ESP+40012FFC47C817077ESP+80012FFC8005BFF80ESP+C0012FFCC0012B750对比前后的堆栈情况变化，可以发现：
短调用影响了ESP和EIP两个寄存器，并且会将返回地点压入到堆栈中
短调用通过RET指令返回，这里也不再赘述
长调用

长调用指令格式

CALL FAR CS:EIP(EIP是废弃的)
形如：CALL FAR 002B:00610610
CALL指令要调用的地点是由CS段选择子查GDT表得到的调用门 段形貌符得来的，后面的EIP不发挥作用
长调用可以分为两种：跨段不提权和跨段提权
长调用通过RETF指令返回
跨段不提权

所谓的跨段不提权就是指要跳转段和当前段的特权级别相同
和短调用差别，长调用会先将CS压入堆栈，然后再将返回地点压入堆栈
跨段不提权的长调用影响了ESP EIP CS 三个寄存器，并且会将CS和返回地点压入到堆栈中
下面给出堆栈变化图：

跨段提权

与跨段不提权相对，所谓的跨段提权就是指要跳转段和当前段的特权级别差别
跨段提权的长调用 涉及到了权限的变化，一旦涉及到了权限的变化，堆栈也将随之切换，因此相比跨段不提权，还会影响SS寄存器
跨段提权的长调用影响了ESP EIP CS SS 四个寄存器，并且会将SS、ESP、CS和返回地点压入到堆栈中
为什么要压入SS和ESP？
因为当跨段提权时，堆栈会发生切换，压入SS和ESP是为了在调用结束后将堆栈规复成原来的（切换前）的堆栈
堆栈切换的泉源是什么？
堆栈切换的泉源是TSS段，这个留作之后再深入
下面给出由RING3切换到RING0的跨段提权堆栈变化图

总结

跨段调用时，一旦有权限切换，就会切换堆栈
CS的权限一旦改变，SS的权限也要随着改变，CS与SS的特权级别必须一致（INTEL定义的规则）
JMP FAR 只能跳转到同级代码段，但CALL FAR可以通过调用门进行提权（提拔CPL的权限）
由于长调用还涉及到调用门和TSS，于是此次笔记没有详细分析长调用的实例，留作之后增补

来源：http://www.12558.net
免责声明：如果侵犯了您的权益，请联系站长，我们会及时删除侵权内容，谢谢合作！