在 Linux 上从 64 位代码远调用 __USER32_CS

Question

最近我意识到你可以在 64 位代码中做到这一点：

  const size_t kLowStackSize = 1024UL * 1024UL * 4UL;
  void *low_stack = mmap(NULL, kLowStackSize, PROT_READ | PROT_WRITE,
      MAP_PRIVATE | MAP_ANONYMOUS | MAP_32BIT, -1, 0);
  struct __attribute__((packed, aligned(16))) {
    int32_t address;
    int16_t segment;
  } target = {(uint32_t) (uint64_t) code, 0x23};
  asm volatile(
      "mov %%rsp, %%r8\n"
      "mov %[stack], %%rsp\n"
      "push %%r8\n"
      "lcall *(%[target])\n"
      "pop %%rsp"
      :
      : [stack] "r" (low_stack + kLowStackSize), [target] "r" (&target)
      : "r8");

其中code 指向位于地址空间低4GiB 中的可执行页面上的一段32 位代码，0x23 是Linux x86 标头中__USER32_CS 段选择器的值。我不知道跳跃目标是否需要属性，但我添加了for good measure。当然，要使远程返回成为可能，这个调用代码本身必须位于虚拟地址空间的低 4 GiB 中的某个位置。我发现把它放到main 就足够了。

我知道这几乎是无用的（没有加载 32 位库，调用约定不同等）并且容易损坏（__USER32_CS 的值不是 Linux 面向用户空间的 API 的一部分）。

我的问题：有没有一种简单的方法来证明调用的目标确实是在 32 位模式下执行的？这种调用是否有任何实际用途（现有的库软件利用它，或者至少不是那么不切实际的可能性）？

Answer 1

在 x86 中，32 位和 64 位指令编码基本相同。

最大的例外是 16 个单字节 INC 和 DEC 指令操作码。在 64 位模式下，这 16 个字节已重新用于 REX 前缀系列，它允许指定 64 位操作数大小以及在 64 位模式下使用新寄存器。

这意味着 64 位代码，如：

    xorl %eax, %eax
    .byte 0x48, 0xff, 0xc8
; this is the same as:
;   decq %rax         ; opcode: 0x48 0xff 0xc8
    lret $0

是有效的 32 位代码，但会被执行为：

    xorl %eax, %eax
    decl %eax         ; opcode: 0x48
    decl %eax         ; opcode: 0xff 0xc8
    lret $0

所以你可以ljmp到这段代码，并测试（32bit）返回值；如果在 64 位模式下执行，它将是 -1，如果在 32 位模式下执行，它将是 -2。

不知道从32bit到64bit模式远返回的前提条件是什么。我怀疑您可能必须同时设置一个“低内存”64 位堆栈指针以及一个低内存 64 位代码地址“蹦床”（以便远调用帧中的返回 EIP 和返回 ESP 都是 32 位值）。