विंडोज फ़ंक्शन को कर्नेल मोड में कॉल करना

आप में से कई, प्यारे खब्रोविट्स, विंडोज कर्नेल के कार्यों का उपयोग करते हैं। हालांकि, हर कोई कल्पना नहीं कर सकता कि इन कार्यों को कैसे कहा जाता है। और कुछ कर्नेल तंत्रों का ज्ञान बहुत उपयोगी हो सकता है।

^{यह पाठ ड्राइवर लेखकों के लिए अभिप्रेत नहीं है, जो (सिद्धांत रूप में) इसे गहरे स्तर पर भी जानते हैं।}

शुरू करने के लिए, सभी प्रसिद्ध WinAPI की तुलना में कर्नेल मोड में बहुत अधिक कार्य हैं। यह इस तथ्य के कारण है कि कर्नेल में बहुत सारे अनजाने कार्य किए गए हैं (हालांकि Win7 और Win8 की रिलीज़ के साथ स्थिति में सुधार हुआ है, इनमें से कई फ़ंक्शन MSDN पर जाते हैं)। इस तरह के कार्यों की एक सूची मिल सकती है, उदाहरण के लिए, यहां।

इन कार्यों को कई समूहों में विभाजित किया जा सकता है:

• कर्नेल एपीआई - फ़ंक्शन ntoskrnl.exe (वास्तव में एक नियमित डीएलएल) में स्थित हैं, कर्नेल के मुख्य कार्य।
• विंडिंग एपीआई - फ़ंक्शन gdi32.dll में स्थित हैं, विंडोज़ और ग्राफिक्स के साथ काम करने के लिए फ़ंक्शन।
• मैसेजिंग एपीआई - फ़ंक्शंस उपयोगकर्ता 32.dll, संदेश प्रसंस्करण कार्यों में स्थित हैं।

यह सब कैसे कहा जाता है?

उपयोगकर्ता मोड से कॉल करके शुरू करते हैं।

- सबसे पहले, हम NtDll.dll की ओर मुड़ते हैं - उपयोगकर्ता मोड और कर्नेल मोड के बीच "परत"। इसमें वह कर्नेल फ़ंक्शन है जिसकी हमें आवश्यकता है। यह फ़ंक्शन EAX रजिस्टर में अपना नंबर डालता है । यह कर्नेल के लिए ज्ञात दो तालिकाओं में एक सूचकांक है: ServiceTable और ArgumentTable। विशेषता से, यह संख्या ओएस के प्रत्येक संस्करण के लिए विशिष्ट है। अक्सर, यह न केवल से बदलते समय कहता है, WinXP से Vista के लिए, बल्कि यहां तक ​​कि जब Vista से Vista SP1 में स्थानांतरित किया जाता है।
- इसके अलावा, पैरामीटर स्टैक के शीर्ष का पता EDX में रखा गया है, ज्यादातर मामलों में यह ईएसपी रजिस्टर का मूल्य है। ऐसा लगता है, क्यों एक मौजूदा मूल्य की प्रतिलिपि बनाएँ? तथ्य यह है कि व्यवधान को निष्पादित किए जाने के बाद, प्रोसेसर की पूरी स्थिति स्टैक में प्रवाहित हो जाती है, और ईएसपी अब वह नहीं होगा जो हमें चाहिए।
- अंत में, कर्नेल मोड पर स्विच होता है। पुराने प्रोसेसर और सिस्टम पर, यह 0x2e इंटरप्ट का उपयोग करके किया जाता है, आधुनिक प्रोसेसर पर, इसके लिए एक विशेष प्रोसेसर निर्देश है: इंटेल के लिए SysEnter , AMD के लिए SysCall ।
- कॉल का परिणाम कोड के प्रोसेसर द्वारा निष्पादन है जिसका पता एक विशिष्ट सेल में वैश्विक रुकावट तालिका में है। यह कोड प्रोसेसर के लिए विशेष निर्देश के मामले में या तो KiSystemService (), रुकावट के मामले में या KiFastCallEntry () कॉल करता है। वैसे, दूसरा एक मोटे रजिस्टर MSR में पंजीकृत है, जो इसे त्वरित पहुंच प्रदान करता है।
- इसके अलावा, कर्नेल में चलने वाला कोड थोड़ा अलग तरीके से निष्पादित होता है, जो इस बात पर निर्भर करता है कि फ़ंक्शन कॉल कर्नेल मोड से या उपयोगकर्ता मोड से कहाँ आया था। कर्नेल कोड का कार्य: आंतरिक फ़ंक्शन तालिका का उपयोग करके EAX के फ़ंक्शन कॉल को निष्पादित करना। इस तालिका को KiServiceDescriptorTable कहा जाता है। यह तीन क्षेत्रों के साथ एक संरचना है:

• तालिका का पता ServiceTable (nt! KiServiceTable) - फ़ंक्शन की एक सरणी
• ArgumentTable (nt! KiArgumentTable) पर पता - मापदंडों द्वारा कब्जे में बाइट्स की संख्या
• इन तालिकाओं में मदों की संख्या

जब SysEnter और SysCall फ़ंक्शन को कॉल किया जाता है, तो उन्हें OS फ़ंक्शन को भेजने की आवश्यकता होती है। प्रत्येक थ्रेड में उपयोगकर्ता मोड और कर्नेल मोड का एक स्टैक होता है। ओएस ArgumentTable टेबल में सेल वैल्यू लेता है, जो दिखाता है कि स्टैक पर कितने बाइट्स हैं और इसके लिए हमने EDX को याद किया है)। फिर यह बाइट्स के इस नंबर को कर्नेल स्टैक में कॉपी करता है। और इसके बाद यह ServiceTable के माध्यम से एक फंक्शन कॉल करता है। दो स्टैक के साथ यह सब परेशानी, निश्चित रूप से, यह सुनिश्चित करने के लिए है कि उपयोगकर्ता मोड में कोई परिवर्तन कर्नेल में फ़ंक्शन के निष्पादन को नुकसान नहीं पहुंचाएगा।

- फ़ंक्शन को कॉल करने और निष्पादित करने के बाद, और इसका संचालन समाप्त हो जाता है, कर्नेल मोड से रिटर्न iret या SysExit / SysRet टूल का उपयोग करके किया जाता है ।

कर्नेल फ़ंक्शन को कर्नेल मोड में कॉल करना।

सिद्धांत रूप में, हमारे पास सब कुछ समान है, लेकिन ...
यदि आप ध्यान से कर्नेल फ़ंक्शंस की सूची देखते हैं, तो आप देखेंगे कि ऐसे फ़ंक्शंस हैं जो पूरी तरह से एनटी फ़ंक्शंस के समान हैं, लेकिन उपसर्ग zw- के साथ । उन सभी को विशिष्ट रूप से nt फ़ंक्शन के लिए मैप किया गया है। हालांकि, कर्नेल मोड में, वे अलग तरीके से काम करते हैं।

अंतर यह है कि zw-फ़ंक्शन में पैरामीटर मान्य नहीं हैं। दूसरे शब्दों में, जब उपयोगकर्ता मोड से कॉल करते हैं, तो सिस्टम फ़ंक्शन को दिए गए मापदंडों की सावधानीपूर्वक निगरानी करता है - भगवान ने प्रोग्रामर को कुछ याद किया, और हैलो, नीली स्क्रीन। कर्नेल मोड में, वे मुख्य रूप से ड्राइवरों के साथ काम करते हैं, और वहां सिस्टम पहले से ही मानता है कि आप सभी मापदंडों की स्वयं जांच करेंगे और उनकी वैधता की गारंटी देंगे, क्योंकि अतिरिक्त चेक मूल्यवान समय खाएंगे। यह इस तरह काम करता है: यदि zw कहा जाता है, तो यह फ़ंक्शन संख्या को EAX में लोड करता है, EDX में कर्नेल स्टैक के लिए एक पॉइंटर डालता है, और फिर nt विकल्प को कॉल करता है, जो मान्य नहीं करता है।

इस संबंध में सवाल उठता है - क्या होगा यदि मैं उपयोगकर्ता मोड से zw फ़ंक्शन से बाहर निकलता हूं? क्या सिस्टम सब कुछ माफ़ कर देगा? वास्तव में नहीं। यदि zw को वरमोड में कहा जाता है, तो यह बस अपने एनटी ट्विन को बुलाता है।

_{यहां, सामान्य तौर पर, कर्नेल फ़ंक्शन को कॉल के बारे में सभी बुनियादी जानकारी। आशा है कि आप रुचि रखते थे।}