保护模式之页相关的笔记

分页

物理地址

如下指令：
MOV eax,dword ptr ds:[0x12345678]
其中,0x12345678 是有效地址
ds.Base + 0x12345678 是线性地址

物理地址在哪里？

CR3寄存器是所有寄存器里面，唯一一个存储物理地址的寄存器，其他都是线性地址。
每个进程都有一个CR3,(准确的说是都一个CR3的值，CR3本身是个寄存器，一个核，只有一套寄存器)，CR3指向一个物理页，一共4096字节（4KB）,如图：

10-10-12分页

31到22	21到12	11到0
10	10	12
目录	目录	当前这个物理页的哪个位置

设置分页方式
boot里的noexecute 改成 execute

PDE与PTE

分页机制

分析为什么是10-10-12

因为每个单元4字节，后3位是属性，倒着来看，比如12的原因，2的12次方是4K，所以12才能寻找所有的物理页，第二个10，每个PTE成员4字节，整个表4kB，所以有2的10次方个单元，所以有10位，第一个10位也是相同原因。

PTE特征

PTE既可以指向物理页，也可以没有物理页。
多个PTE可以指向同一个物理页。
一个PTE只能指向一个物理页。

物理页的属性

物理页的属性 = PDE属性 & PTE属性
物理页属性

P位

线性地址0 为什么不能访问呢？
没有指定物理页，指定物理页就一定能访问吗？
先看PDE与PTE的P位 P=1 才是有效的物理页

R/W 位

R/W = 0 只读
R/W = 1 可读可写

U/S 位

U/S = 0 特权用户
U/S = 1 普通用户

P/S位（PageSize）

对PDE有意义，PS == PageSize的意思当PS==1的时候 PDE直接指向物理页无PTE,低22位全是页内偏移。因为后面的偏移，线性地址只能拆成2段：大小为4MB，俗称“大页”

A 位

是否被访问（读或者写）过访问过置1，即使只访问一个字节也会导致PDE PTE置1

D 位

脏位，是否被写过，0没有被写过，1被写过

在上一节课课后题中我们提到过，如果系统要保证某个线性地址是有效的，那么必须为其填充正确的PDE与PTE，如果我们想填充PDE与PTE那么必须能够访问PDT与PTT，那么存在2个问题：
1、一定已经有“人”为我们访问PDT与PTT挂好了PDE与PTE,我们只有找到这个线性地址就可以了。
2、这个为我们挂好PDE与PTE的“人”是谁？

拆分C0300000
结论：C0300000存储的值就是PDT
如果我们要访问第N个PDE，那么有如下公式：
0xC0300000 + N*4

PDT总结：
1、通过0xC0300000找到的物理页就是页目录表

2、这个物理页即是页目录表本身也是页表

3、页目录表是一张特殊的页表，每一项PTE指向的不是普通的物理页，而是指向其他的页表.

4、如果我们要访问第N个PDE，那么有如下公式：
0xC0300000 + N*4

PTT总结：
1、页表被映射到了从0xC0000000到0xC03FFFFF的4M地址空间（一个页表是4KB，一共1024）
2、在这1024个表中有一张特殊的表：页目录表
3、页目录被映射到了0xC0300000开始处的4K地址空间

有了0xC0300000和0xC0000000能做什么？

掌握了这两个地址，就掌握了一个进程所有的物理内存读写权限。

公式总结：
1、什么是PDI与PTI
10-10-12

2、访问页目录表的公式：
0xC0300000 + PDI*4
3、访问页表的公式
0xC0000000 + PDI*4096 + PTI*4

首先要明白一点，PAE和非PAE指的是物理寻址扩不扩大，也就是PTE的位数扩不扩大，原来的内存大小是4G，因为首先PTE是寻物理地址的，记录了寻址时物理地址的起始地址。PTE的大小是4字节32位寻址范围是2的32次方，寻址范围就是4G，因为线性地址是32位，所以是10-10-12（10是因为4k大小能存2的10次方个，12是页内偏移，因为不管PAE还是不PAE页大小都是4K），PAE技术就是把PTE变为8个字节（64位），所以寻址理论上就能变成2的64次方（但是这个太大，一般用不了那么多）。所以是2-9-9-12。

2-9-9-12分页

10-10-12分页方式，在这种分页方式下物理地址最多可达4GB。但随着硬件发展，4GB的物理地址范围已经无法满足要求，Intel在1996年就已经意识到这个问题了，所以设计了新的分页方式.也就是我们本节课要讲的2-9-9-12分页,又称为PAE（物理地址扩展）分页.

为什么是10-10-12

先确定了页的大小4K，所以后面的12位的功能就确定了，（一个页4K是4096个字节，所以想让每个页内偏移的字节都能寻址到，就需要4096个地址，即2的12次方个，即12位）
当初的物理内存比较小，所以4个字节的PTE就够了，加上页的尺寸是4K，所以一个页能存储1024个PTE，也就是2的10次方，第二个10也就确定了.
剩下的10为PDI 10+10+12刚好32位

为什么是2-9-9-12

页的大小是确定的，4KB不能随便改，所以12确定了。
如果想增大物理内存的访问范围，就需要增大PTE,增大多少了呢？考虑对齐的因素，增加到8个字节，所以4K/8=512,一个页PTE就是512个，如下图。
同理PDI也是2的9次方 32 - 9 - 9 - 12 还差2位所以就再做一级，叫PDPI

2-9-9-12分页结构(PAE,物理地址扩展)

CR3此时指向PDPTE
2-9-9-12分页

如何开启PAE模式

将C:\boot.ini文件中的execute改为noexecute 重启

Page-Directory-Point-Table Entry

PDPTE共有四项(第一个2)。
35-12 存储的是页目录表的基址，低12位补0，共36位，即页目录基址。

特别说明：
- 当PS=1时（第7位）是大页，35-21位是大页的物理地址，这样36位的物理地址的低21位为0，这就意味着页的大小为2MB，且都是2MB对齐。
- 当PS=0时，35-12位是页表基址,低12位补0，共36位。

特别说明

PTE中35-12是物理页基址，24位，低12位补0
物理页基址+12位的页内偏移指向具体数据

XD标志位（AMD中称为NX,即No Excetion ）

PDE/PTE结构

X	保留	35-12 物理地址	低12位（属性）

段的属性有可读、可写和可执行
页的属性有可读、可写
当RET执行返回的时候，如果我修改堆栈里面的数据指向一个我提前准备好的数据（把数据当作代码来执行，漏洞都是依赖这点，比如SQL注入也是）
所以，Intel就做了硬件保护，做了一个不可执行位，XD=1时。那么你的软件溢出了也没有关系，即使你的EIP蹦到了危险的“数据区”，也是不可以执行的！
在PAE分页模式下，PDE与PTE的最高位为XD/NX位.

TLB

地址解析

通过一个线性地址访问一个物理页。比如：一个DWORD，其实未必真正读的是4个字节，我们先读的PDE再读PTE 最后才读的4个字节的页。
在2-9-9-12会读24个字节如果跨页可能更多。

为了提高效率，只能做记录。
CPU内部做了一个表，来记录这些东西，这个表格是CPU内部的，和寄存器一样快，这个表格：TLB（Translation Lookaside Buffer）。

TLB结构

LA（线性地址）	PA（物理地址）	ATTR（属性）	LRU（统计）

说明：
1. ATTR（属性）：属性是PDPE，PDE，PTE三个属性AND起来的. 如果是10-10-12，就是PDE and PTE
2. 不同的CPU 这个表的大小不一样.
3. 只要Cr3变了，TLB立马刷新，一核一套TLB.

操作系统的高2G映射基本不变，如果Cr3改了，TLB刷新重建高2G以上很浪费。所以PDE和PTE中有个G标志位（PDE是大页时有效），如果G位为1刷新TLB时将不会刷新PDE/PTE的G位为1的页，当TLB满了，根据统计信息将不常用的地址废弃，最近最常用的保留.

TLB种类

TLB在X86体系的CPU里的实际应用最早是从Intel的486CPU开始的，在X86体系的CPU里边，一般都设有如下4组TLB:
第一组：缓存一般页表（4K字节页面）的指令页表缓存（Instruction-TLB）；
第二组：缓存一般页表（4K字节页面）的数据页表缓存（Data-TLB）；
第三组：缓存大尺寸页表（2M/4M字节页面）的指令页表缓存（Instruction-TLB）；
第四组：缓存大尺寸页表（2M/4M字节页面）的数据页表缓存（Data-TLB）

中断与异常

什么是中断

中断通常是由CPU外部的输入输出设备(硬件)所触发的，供外部设备通知CPU“有事情需要处理”，因此又叫中断请求(Interrupt Request).
中断请求的目的是希望CPU暂时停止执行当前正在执行的程序，转去执行中断请求所对应的中断处理例程(中断处理程序在哪有IDT表决定)
80x86有两条中断请求线：
非屏蔽中断线，称为NMI（NonMaskable Interrupt）
可屏蔽中断线，称为INTR（Interrupt Require

非可屏蔽中断如何处理

（固定IDT第二个门）

(IDT表)中断号	NMI	说明
0x2	不可屏蔽中断	80x86中固定为0x2

特别说明：
当非可屏蔽中断产生时，CPU在执行完当前指令后会里面进入中断处理程序
非可屏蔽中断不受EFLAG寄存器中IF位的影响，一旦发生，CPU必须处理
非可屏蔽中断处理程序位于IDT表中的2号位置

可屏蔽中断

在硬件级，可屏蔽中断是由一块专门的芯片来管理的，通常称为中断控制器.它负责分配中断资源和管理各个中断源发出的中断请求.为了便于标识各个中断请求，中断管理器通常用IRQ(Interrupt Request)后面加上数字来表示不同的中断.

比如：在Windows中时钟中断的IRQ编号为0，也就是：IRQ0

中断的实质是改变程序执行流程

可屏蔽中断如何处理？

（IDT表）中断号	IRQ	说明
0x30	IRQ0	时钟中断
0x31-0x3F	IRQ1-IRQ15	其他硬件设备的中断

特别说明：
1. 如果自己的程序执行时不希望CPU去处理这些中断，可以
用CLI指令清空EFLAG寄存器中的IF位
用STI指令设置EFLAG寄存器中的IF位
2. 硬件中断与IDT表中的对应关系并非固定不变的，
参见：APIC（高级可编程中断控制器）

异常

异常通常是CPU在执行指令时检测到的某些错误，比如除0、访问无效页面等。

中断与异常的区别：

中断来自于外部设备，是中断源（比如键盘）发起的，CPU是被动的.
异常来自于CPU本身，是CPU主动产生的.
INT N虽然被称为“软件中断”，但其本质是异常。EFLAG的IF位对INT N无效。

异常处理

无论是由硬件设备触发的中断请求还是由CPU产生的异常，处理程序都在IDT表。

错误类型	（IDT表）中断号
页错误	0xE
段错误	0xD
除0错误	0x0
双重	0x8

缺页异常

缺页异常的产生：
1、当PDE/PTE的P=0时
2、当PDE/PTE的属性为只读但程序试图写入的时
一旦发生缺页异常，CPU会执行IDT表中的0xE号中断处理程序，由操作系统来接管。

控制寄存器

控制寄存器用于控制和确定CPU的操作模式。
Cr0 Cr1 Cr2 Cr3 Cr4
Cr1 保留
Cr3 页目录表基址

Cr0寄存器

CR0寄存器

说明：
PE：CR0的位0是启用保护（Protection Enable）标志。
PE=1保护模式，PE=0实地址模式，这个标志仅开启段级保护，而并没有启用分页机制。若要启用分页机制，那么PE和PG标志都要置位。
PG：当设置该位时即开启了分页机制。在开启这个标志之前必须已经或者同时开启PE标志。
PG=0且PE=0，处理器工作在实地址模式下
PG=0且PE=1，处理器工作在没有开启分页机制的保护模式下
PG=1且PE=0，在PE没有开启的情况下，无法开启PG
PG=1且PE=1，处理器工作在开启了分页机制的保护模式下

WP：对于Intel 80486或以上的CPU，CR0的位16是写保护（Write Proctect）标志当设置该标志时，处理器会禁止超级用户程序（例如特权级0的程序）向用户级只读页
面执行写操作；
当CPL<3的时候：
如果 WP=0 可以读写任意用户级物理页，只要线性地址有效.
如果 WP=1 可以读取任意用户级物理页，但对于只读的物理页，则不能写.

Cr2寄存器

当CPU访问某个无效页面时，会产生缺页异常，此时，CPU会将引起异常的线性地址存放在CR2中。

Cr4寄存器

PWT/PCD

CPU缓存

1) CPU缓存是位于CPU与物理内存之间的临时存储器，它的容量比内存小的多但是交换速度却比内存要快得多。
2) CPU缓存可以做的很大，有几K、几十K、几百K甚至上M的也有。
CPU缓存与TLB的区别：
TLB：
线性地址 <—–> 物理地址
CPU缓存：
物理地址 <—–> 内容

关于PWT/PCD属性

PWT：Page Write Through

PWT =  1 时 写Cache的时候也要将数据写入内存中。

PCD：Page Cache Disable

PCD = 1时，禁止某个页写入缓存，直接写内存。

比如，做页表用的页，已经存储在TLB中了，可能不需要再缓存了。

参考资料：

[1]：滴水视频