演示处理器环-运行环0指令的汇编代码

Question

我想创建一个演示，向学生解释处理器振铃和系统调用。我在一个演示文稿中正在考虑做这样的事情：

1. 编写一些汇编代码，尝试执行一些只能在环0中运行的代码（例如，直接访问磁盘）
2. 查看失败的代码，然后将其重写以使用系统调用（例如，使用系统调用读取文件）
3. 如果不是那么难：在环0中运行初始代码

我可以使用Linux或Windows，更容易

关于在哪里可以找到有助于我的代码的任何想法？我可以使用哪些受保护的说明？

谢谢！

Answer 1

一个引人注目的演示可能是关闭计算机电源。

不幸的是，电源管理是一个复杂的问题，它涉及相当抽象且冗长的ACPI规范，而且它们并不是第一次尝试。
ACPI很复杂，因为不同的供应商需要不同的操作来管理计算机的各个方面，无论如何，如果您碰巧拥有Intel芯片组（建议使用200系列，但其他系列也应该工作），我们可以跳过大部分ACPI层并使用数据表代替。

在课堂上使用它之前，应在最终硬件上检查该程序。

ACPI定义了四个全局系统状态，G0 - G3，其中G3是机械功率关闭（即插头已经被拉，电池移除）和G2是软关闭。
只有G2可以通过软件输入，这是通过输入完成S5休眠状态。

睡眠状态由PCH（Intel芯片组）通过IO寄存器（PM1a_CNT_BLK）控制，该寄存器位于设备31功能2（PM控制器）的PCI配置空间中定义的ACPI块中。
一个应该读取该块的基地址，然后加四（4）以获取感兴趣的寄存器的地址。
我不会以编程方式执行此操作，而是汇编程序期望带有该地址的符号。

要检索寄存器的地址，PM1a_CNT_BLK可以使用/proc/ioports以下方法：

sudo cat /proc/ioports | grep 'PM1a_CNT_BLK' | cut -f3 -d' ' | cut -f1 -d'-'

这给出了寄存器的十六进制地址。如果没有打印出来，则很可能不支持该芯片组。

地址可能是1804。

睡眠状态由寄存器的位10:12（SLP_TYP）和位13（SLP_EN）控制。
SLP_TYP是一个3位值，用于选择要进入的状态（S5是7），而位13是使能位。
寄存器具有必须保留的其他值，因此必须执行读-修改-写操作。

使用in和out指令是不可能的一环3，除非所述方法的TSS具有3的IOPL（IO特权等级）（或端口已经在IO端口被启用地图）。
IOPL告诉哪些环可以使用in和out，值的X意思是所有等于X或小于可以的环。

该程序尝试关闭计算机电源，并有选择地将IOPL设置为给定值（通过符号IOPL）：

BITS 64

GLOBAL _start

SECTION .text

_start:
 ;Set the IOPL, only if greater than 0 (since 0 is the default)
%if IOPL > 0
 lea rsi, [rsp-80h]             ;We don't care about the pt_regs struct and we use the RED ZONE
 mov edi, IOPL                  ;IOPL to set
 mov eax, 172                  
 syscall                        ;Set iopl

 and eax, 0fh                   ;Just keep the last nibble, it can be 0 (success), 10 (invalid IOPL) or 15 (insufficient OS permissions)
 test eax, eax                  ;Test for errors
 mov edi, eax                   ;We exit with status 10 or 15 if the iopl syscall failed
 jnz .exit
%endif 

 ;Power off the PC
 mov dx, PM1a_CNT_BLK
 in eax, dx                     ;Read the current value
 and eax, 0ffffc003h            ;Clear SLP_TYP and SLP_EN
 or eax, (7 << 10) | (1 << 13)  ;Set SLP_TYP to 7 and SLP_EN to 1
 out dx, eax                    ;Power off

 ;This is just for safety, execution should STOP BEFORE arriving here. This exits the process with status
 ;0
 xor edi, edi

 ;Exit the process with a numerical status as specified in RDI
.exit:
 mov eax, 60
 syscall

它可以与被组装nasm po.asm -DPM1a_CNT_BLK=$1 -DIOPL=$2 -felf64 -o po.o，其中$1是的端口地址PM1a_CNT_BLK如以上发现，但以0x前缀（在我的情况下，它变得0x1804）和$2是一个数字（0-3）到IOPL设置。
如果它不是0，则设置IOPL，因为默认值为0（即，只有Ring 0可以使用in和out）

注意：将合理的值传递给符号，否则程序将无法汇编。

这在以下方面很有趣：

1. 如果在IOPL为0的情况下运行，则由于使用，程序将在#GP下崩溃in。
   这演示了CPU的安全性机制。
2. 如果以IOPL> 0而不是root身份运行，则将由于权限不足而失败。
   这演示了操作系统的安全机制，仅允许root更改IOPL。
3. 如果使用IOPL> 0但<3并以root身份运行，则由于使用，它将#GP in。
   这表明用户程序在Ring 3上运行（IOPL不够高）。
4. 如果以IOPL = 3并以root用户身份运行，它将关闭计算机电源（否则将关闭计算机电源并返回，可能会使系统处于未知状态）。
   这证明了允许用户程序访问硬件的风险。
5. 如果IOPL> 3，则将由于无效的IOPL值而失败。
   这表明只有四个环。

我已经用代码和脚本制作了一个git存储库，built.sh可用于构建和运行该程序的不同版本。
该脚本很有用，因为它将退出状态po转换为用户友好的字符串，适合进行实验。

该脚本将PM1a_CNT_BLK地址作为第一个参数（带有0x前缀），并将IOPL视为第二个参数。
像这样使用它：

./build.sh 0x1804 0
./build.sh 0x1804 3
sudo ./build.sh 0x1804 2
sudo ./build.sh 0x1804 4
sudo ./build.sh 0x1804 3

当然，更改寄存器地址。

IOPL的技巧只是……一个技巧。它并没有真正使程序在Ring 0上运行，它对于调试很有用，但没有更多。

为了在Ring 0上运行代码，您需要一个LKM（可加载内核模块）。
在同一库我已经包括一个LKM与LKM的例子目录。
加载模块后，尝试（立即）关闭计算机。

该代码是最少的：

#include <linux/module.h>   /* Needed by all modules */
#include <linux/kernel.h>   /* Needed for KERN_INFO */
#include <linux/fs.h>         /* Needed for KERN_INFO */
#include <asm/io.h>       /* Needed for inl and outl */

#define PM1a_CNT_BLK 0x1804

unsigned char bytes[10];

int __init lkm_init(void)
{
  unsigned int pm1a;

    printk(KERN_INFO "I'm going to power the computer off");


  pm1a = inl(PM1a_CNT_BLK);
  pm1a = ( pm1a & 0xffffc003 ) | ( 7 << 10 ) | ( 1 << 13 );
  outl(pm1a, PM1a_CNT_BLK);

  printk(KERN_WARNING "Powering off failed");

    return 0;
}


static void __exit lkm_exit(void)
{
}

module_init(lkm_init);
module_exit(lkm_exit);

MODULE_LICENSE("Dual BSD/GPL");
MODULE_AUTHOR("M.Bloom");
MODULE_DESCRIPTION("Attempt to power down the computer");

要制作LKM，请首先编辑PM1a_CNT_BLKdefine，然后make在相同的目录中运行（您将需要内核头文件），这Makefile是LKM的标准目录。
要加载模块，请insmod po以root用户身份使用（这是OS安全机制）。

由于我已经开始编写此答案，因此我已经编译但未测试此LKM。
您可能最终会修复它，用于dmesg检查模块的输出。

您可以将LKM用作运行Ring 0的代码的框架，尽管在处理内存时，您必须了解Linux如何处理虚拟内存。

最后一点，如果您要检查/使用此程序，请确保关闭所有应用程序，运行sync，如果愿意，请切换到运行级别1（systemd为systemctl isolate rescue），或至少停止所有关键服务。