滲透測試之內核安全系列課程：Rootkit技術初探（三）

今天，我們來講一下內核安全！

本文章僅提供學習，切勿將其用于不法手段！

目前，在滲透測試領域，主要分為了兩個發展方向，分別為Web攻防領域和PWN（二進制安全）攻防領域。在PWN的二進制領域，免殺技術，一直是后滲透利用階段的重要安全技術之一。

想要免殺，需要了解的安全技術知識包括軟件加殼、代碼混淆（例如，使用花指令）、隱匿技術（例如，Rootkit技術）、動態加密等內容。

接上一篇文章，我們來繼續講述下 Rootkit技術的相關基礎知識點內容！

在《滲透測試之內核安全系列課程：Rootkit技術初探》之前的文章中，我們講述了 GDT 全局描述符表、LDT 局部描述符表、GDTR 全局描述符表寄存器、LDTR 局部描述符表寄存器、一致性代碼、非一致性代碼、實模式、保護模式、線性地址等非常重要的基礎知識點內容！

這些內容，是學習 Rootkit 技術的基礎?！

今天，我們來重點講解下線性地址到物理地址的轉換！

注意，本章中的比特位排序，是從數字 1 開始計算的，第N位對應的比特位索引為第N位 - 1 。

注意，本章中的字節排序，是從數字 1 開始計算的，第N個字節?對應的字節索引為第N個字節 - 1?。

說起，線性地址到物理地址的轉換，我們不得不提起幾個非常重要的?控制寄存器?！

CR0 寄存器、CR1 寄存器、CR2 寄存器、CR3 寄存器。?

其中，CR1 寄存器，并沒有被實際使用，所以暫時忽略！?

這里，重點只講 CR0 控制寄存器、CR2 頁故障線性地址寄存器、?CR3 頁目錄基址寄存器！

CR0 控制寄存器，最重要的兩個比特位，分別是第1位和第32位，剛好是 CR0寄存器的內容值的“ 頭 ” 和 “ 尾 ”?！

CR0控制寄存器的第1位 PE ，控制著保護模式的開啟與關閉！當 PE 位是 1 時，保護模式處于開啟狀態，當 PE 位是 0 時，保護模式處于關閉狀態，此時計算機運行于實模式！

CR0控制寄存器的第32位 PG ，控制著內存分頁機制?的開啟與關閉！當 PG 位是 1 時，內存分頁機制?處于開啟狀態，當 PG 位是 0 時，內存分頁機制?處于關閉狀態，此時計算機運行于實模式！

如果需要啟用內存分頁機制，那么第 1?位 PE 位和第 32 位 PG 位的值，均要為 1 ！

在禁用 CPU 的內存分頁機制時，線性內存地址等同于物理內存地址！

現在，讓我們來科普一下布爾值和布爾運算存在的意義！

這主要是為了讓您更加深刻地理解，0 和 1 所代表的布爾運算意義！

在我之前發布的一些文章中，我提到了布爾值的運算！

非真即假，非假即真！不是真的？那么就一定是假的！不是假的？那么就一定是真的！

布爾值，只會存在兩個值，True 真，或者 False 假！

在計算機領域的二進制世界中，數字 1 ，通常代表 True 真！

在計算機領域的二進制世界中，數字 0 ，通常代表 False 假！

在計算機領域的二進制世界中，數字 1 ，通常代表條件成立！

在計算機領域的二進制世界中，數字 0 ，通常代表條件不成立！

在計算機領域的二進制世界中，數字 1 ，通常代表開啟！

在計算機領域的二進制世界中，數字 0 ，通常代表關閉！

這些知識，都屬于計算機領域中技術知識學習方面的小技巧！

CR2 頁故障線性地址寄存器，主要用于在頁異常情況發生時，報告相應的出錯信息。

當發生頁異常時（例如，指定的內存頁，并不存在！這時，會觸發缺頁中斷）CPU 會把引起缺頁中斷的線性地址?保存在?CR2 頁故障線性地址寄存器?之中！

操作系統中的頁異常處理程序（其實就是缺頁中斷所對應的? 中斷服務程序）可以通過檢查 CR2 頁故障線性地址寄存器的內容值的方式，去篩查出缺頁中斷這個異常是由虛擬地址空間（線性地址空間）中的哪一個頁面不存在而引起的（CR2 頁故障線性地址寄存器，主要用于定位錯誤，以及通過分頁交換文件去輔助載入內存分頁）！?

我們需要知道，針對缺頁中斷，從硬盤中?載入?對應的頁表資源或頁資源，是由?缺頁中斷?對應的? 中斷服務程序去完成的！CR2?頁故障線性地址寄存器，在?從硬盤空間??向內存空間?載入??指定頁表資源或指定頁資源時，起到了非常重要的作用！

CR3?頁目錄基址寄存器，主要用于 PDT 頁目錄表或 PDPT 頁目錄指針表的物理尋址！

CR3?頁目錄基址寄存器，存儲了?PDT 頁目錄表或?PDPT 頁目錄指針表的物理內存地址！

在啟用了 PAE 物理地址擴展的基礎上，CR3?頁目錄基址寄存器的高 27 位，被用于進行?PDPT 頁目錄指針表的物理地址尋址！

上面提到了 CR3 寄存器，它主要用于存儲頁目錄在內存空間中的物理地址?！

我們需要知道，開啟分頁機制之前（例如，開啟啟動，在正式載入系統內核之前，此時，CPU 還工作于實模式之下），CPU 進行的尋址操作，還是基于物理內存地址的！只有在開啟了保護模式（通過將 CR0 寄存器的第 1 個比特位?PE位的內容值置為 1 來實現）和內存分頁機制（通過將 CR0 寄存器的第 32 個比特位 PG位的內容值置為 1 來實現）之后，CPU 進行的尋址操作，才會基于線性內存地址去進行！在開啟保護模式和內存分頁機制時，務必要將 CR3 寄存器指向頁目錄表的?基址（頁目錄表在內存空間中的起始地址）（物理內存地址）！

我們必須清晰地認知，虛擬地址空間?是被操作系統虛擬出來的！虛擬地址空間，只是操作系統進行內存管理的一種技術實現方式！虛擬地址空間和物理地址空間之間?存在映射關系，每一個進程，都擁有自己的虛擬地址空間！當進程切換，CR3 頁目錄基址寄存器中的內容值，也會發生變化！這意味著，CR3 頁目錄基址寄存器將指向新的物理內存地址！這代表著，虛擬地址空間，會隨著進程切換行為，同時被切換掉！進程切換，虛擬地址空間，也會同步切換！

為什么 CR3寄存器承擔著切換虛擬地址空間的義務呢？

CR3寄存器，是頁目錄基址寄存器，它存儲了頁目錄空間在內存空間中的物理內存地址！

CR3寄存器，是頁目錄基址寄存器，它指向了內存空間中的頁目錄空間！

CR3 寄存器，指定了頁目錄表或頁目錄指針表?在內存空間中的物理地址！記住，是物理地址！是物理地址！是物理地址！重要的事情，要說三遍！！！！

CR3 寄存器，就相當于大樹的根系，它存儲著頁目錄的內存物理地址！

與 CR3 寄存器相關的匯編指令，使用的是內存物理地址！

CR3 寄存器，就像樹狀數據結構中的根節點！

在 CPU 的分頁機制中，存在著頁目錄、頁表、頁這樣的技術設計概念！

我們已經說過了，CR3 寄存器，存儲著頁目錄的內存物理地址！

頁目錄、頁表、頁這樣的技術架構設計，共同實現了內存分頁機制的樹狀數據結構！

頁目錄，相當于大樹的主干！

頁表，相當于大樹主干上的分叉！

頁，相當于大樹主干的分叉上生長的葉子！

透徹理解，樹狀數據結構，是理解 CPU 分頁機制技術實現方面的重要基礎！?

頁目錄中，存在很多的子項，每個子項均指向了頁表在內存空間中的物理地址！

頁表中，存在很多的子項，每個子項均指向了頁?在內存空間中的物理地址！

CPU 在技術上實現的內存分頁機制，除了頁目錄、頁表、頁這樣的技術架構設計之外，線性地址這種技術概念的出現，也是實現 CPU 內存分頁機制的重要基礎！

線性地址、頁目錄、頁表、頁等技術架構設計，共同實現了 CPU 內存分頁機制！

線性地址、頁目錄、頁表、頁等技術架構設計，使 CPU 內存分頁機制的技術實現成為了可能！

線性地址，有 32 位和 64 位之分！

32位的線性地址?，用于 32位操作系統下的內存尋址（最大尋址范圍：4GB）！

64位的線性地址?，用于 64位操作系統下的內存尋址（最大尋址范圍：64GB）！

本篇文章中，重點還是在 32位操作系統環境下進行相關內容講解！

在 32位環境下，很多概念，都是向 4 對齊的！

在 64位環境下，很多概念，都是向 8 對齊的！

無論是 32 位的操作系統環境，還是 64位的操作系統環境，都是以向 2 的整數倍對齊的！

內存邊界，一定會是 2 的整數倍！

在上面的內容中，我們簡單的提到了線性地址、頁目錄、頁表、頁的架構設計！

現在，我們來重點講一下線性地址、頁目錄、頁表、頁的方面的技術實現！

在 80386 以上規格的處理器環境中，32位操作系統環境下，內存分頁中的?頁大小?是 4KB ！

在 80386 以上規格的處理器環境中，64位操作系統環境下，內存分頁中的?頁大小?是 8KB ！

在內存空間中，bit 比特位是最基礎的內存空間存儲單元！

基礎知識科普：8 BIT?（比特位）= 1B（byte 字節）；1024 B?= 1 KB ；1024 KB = 1 MB?; 1024MB = 1 GB；1024GB = 1TB 。

在 32位環境下，以 Windows 系列的操作系統舉例！

線性地址從 0 開始，到 2 GB 結束的范圍內的內存空間，是用戶態進程的內存使用空間！

線性地址從 2G 開始，到 4 GB 結束的范圍內的內存空間，是內核態進程的內存使用空間！

在 Windows 系列的操作系統環境中，地址內存分段模式，是基于平坦模式的！?

在 Linux 系列的操作系統環境中，地址內存分段模式，是基于平坦模式的！?

在平坦模式下，操作系統能夠訪問一個連續的、不分段的地址空間！所有的段（包括代碼段、數據段、棧段等）都被映射到同一個內存地址空間中！所有的段的段基址都是 0 ，在32位環境下，段限長為 4GB，在64位環境下，段限長為64GB 。

記住了嗎？Windows 和 Linux 的內存分段模式，都是基于平坦模式的！

32位線性地址的第 23~32位，是頁目錄表項中的子項偏移量！

32位線性地址的第 23~32位的內容值，加上 CR3寄存器中的頁目錄基地址（頁目錄在內存空間中的起始物理地址），即得到了頁目錄表項的物理內存地址！

32位線性地址的第 13~22位的內容值，加上頁目錄表項中存儲的子項偏移量，即得到了?內存分頁的物理內存地址！

32位線性地址的第 1~12位的內容值，加上內存分頁?的頁基址（內存頁的起始物理地址），即得到了線性內存地址對應的?物理內存地址！

虛擬地址空間（采用線性地址方式進行虛擬內存尋址）與物理地址空間（采用物理地址方式進行物理內存尋址）之間，存在映射關系！一個進程，就會擁有一個虛擬地址空間！但是！物理地址空間，只會存在一個！這是 N 對 1 的映射關系！多個虛擬地址空間，通過進程切換（進程切換時，虛擬地址空間也會隨之被切換！切換原理：更改 CR3 寄存器的內容值！CR3 寄存器存儲了指向頁目錄表的物理地址！物理地址被替換了，意味著 CR3寄存器已經指向了不同的頁目錄表！每個進程，都會擁有一個屬于自己的頁目錄表！頁目錄表，是屬于虛擬地址空間的！而每個進程，都會擁有一個虛擬地址空間！相應的，每個進程，都會存在一個頁目錄表），共享同一個物理地址空間！

虛擬地址空間，是按頁進行管理的！

物理地址空間，也是按頁進行管理的！

虛擬地址空間中的頁面大小和物理地址空間中的頁面大小相同！

在 Intel? 系列的芯片中，存在專門的電路，負責將虛擬地址（線性地址）轉譯為內存物理地址！

還記得?內存管理單元（MMU）嗎（下面的內容，會有相應的介紹）？

虛擬地址空間，通過樹狀數據結構? 對虛擬地址空間進行創建和管理！

在虛擬地址空間中，線性內存空間是連續的！通過樹狀數據結構，的確可以實現對于任意線性地址空間的操作訪問！

首先，根據?32位線性地址的第 23~32位?的內容值，結合?CR3寄存器中的頁目錄基地址?得到頁目錄中對應子項（指定的頁表）的物理內存地址（指定頁表的內存空間基地址）！然后，根據?

32位線性地址的第 13~22位的內容值，結合已獲取的?指定頁表的內存空間基地址??得到頁表中對應子項（指定的頁）?的?物理內存地址（指定頁的內存空間基地址）！最后，根據 32位?線性地址的第 1~12位的內容值，結合已獲取的?指定頁的內存空間基地址??得到線性地址對應的物理地址?！

在虛擬地址空間中，有些虛擬頁面（內存頁面），并不存在對應的物理頁面，我們管這種情況，叫做 “頁面缺失” ！當這種情況發生時，會觸發頁面缺失中斷，由頁面缺失中斷?對應的?處理程序（這種處理程序，通常是一種中斷服務例程！不了解中斷服務的童鞋兒，可以去看一下王爽老師寫的《零基礎入門匯編語言》這本書?），去將以虛擬內存形式存儲于硬盤中的頁面數據，從硬盤空間中取回！或許，這就是虛擬內存這個技術實現的價值和存在意義！我們可以把這種行為，稱為 ” 數據交換 “?！

什么是虛擬內存？

我們需要知道，在 Windows 系列的操作系統環境中，?虛擬內存在技術實現本質上?就是物理內存 + 分頁文件！

我們必須知道，分頁文件，是被存儲在硬盤上的！

這里的?分頁文件，指的就是分頁交換文件！

在《Windows核心編程》一書的第13個章節（物理存儲器和頁交換文件）內容中，重點講解了分頁交換文件和物理存儲器之間進行?數據交換的過程這種非常重要的基礎知識內容！

在下一章內容中，我們將重點地去講解?分頁交換文件和物理存儲器之間? 是如何進行?數據交換的！下一章節中，我們將重點講解?分頁交換文件和物理存儲器之間的數據交換過程！

在不同的操作系統環境中，對于虛擬內存的技術實現，會略有不同！

在下一章內容中，我們會主要?參考 Windows 系列的操作系統進行相應的內容講解?！

還記得下面的這句話嗎？

在 Intel? 系列的芯片中，存在專門的電路，負責將虛擬地址（線性地址）轉譯為內存物理地址！

是的！說到線性地址的尋址，我們不得不重點提一下，CPU 的?內存管理單元（MMU）！

CPU 的內存管理單元（MMU）是什么東西呢？

內存管理單元（MMU），的英文翻譯為 “ Memory Management Unit ” ！

內存管理單元（MMU），也被稱為 ” 分頁內存管理單元 “，英文翻譯為 ” paged memory management unit “，被簡寫為 ” PMMU “ ！

內存管理單元（MMU），是一種被用于處理?中央處理器（ CPU ）的內存訪問請求的計算機硬件?！

內存管理單元（MMU）的功能，包括?虛擬地址（線性地址）到物理地址（內存物理地址）的轉換（也就是，我們常說的，虛擬內存管理，或稱為虛擬地址空間管理！這里，涉及到了虛擬地址空間的相關概念?）！

內存管理單元（MMU）的功能，包括?內存保護（?內存分頁?的?執行保護，這里涉及到了?內存分頁?的?訪問權限?）！

內存管理單元（MMU）的功能，包括?中央處理器高速緩存的控制（這里主要指，對 CPU 中的高速緩存部件進行管控?）！

內存管理單元（MMU）的功能，包括?在相對簡單的計算機體系結構中，負責進行總線的仲裁（總線仲裁（bus arbitration），計算機?中多個設備?或?模塊?可能會同時去?申請?對于?總線?的?使用權?，為?避免?產生總線?沖突?，需由?總線仲裁機構?，也就是?內存管理單元 MMU 去進行合理控制和?適當管理那些?需要占用總線的申請者（計算機中的設備或? 模塊等），當多個申請者同時提出總線使用請求時，需要以一定的優先算法去決策哪個申請者能夠優先獲得對于總線的使用權）！