Такой вопросик.
Как известно, если мы попробуем выполнить нечто вроде
mov eax,cr0 на 3-м кольце, то винда пошлет прямо к Биллу Гейтсу. Регистр cr0 как бы закрыт на чтение (и уж тем более на запись). Но вот что интересно: можно прочитать младшие 16 бит регистра коммандой smsw ax. Оно так и должно быть или это бага?

Можно прочитать все 32 бита из 3го кольца.

И як же, если не секрет?

с помощью того же smsw.
Только указать 32 регистр в качестве операнда.
(Если используешь MASM в 32 битном режиме он
будет сообщать об ошибке если ты напишешь
smsw eax
Но смешно что если ты напишешь
smsw ax
то он на самом деле сгенирирует опкод для smsw eax.
0F01E0
smsw ax будет с префиксом и не меняет старшие биты reg32
660F01E0
Я об этом писал ещё на Win32asmcommunity.
Написан код драйвера и пользовательский
который выполнял mov eax,cr0 и smsw eax и показывал результаты.
Там активно это обсудили,
Томаш подкорректировал FASM по такому случаю.
И код протестировала куча людей на разных машинах.
От Pplain до P4 и аналоги их включая экзотические.
Если у тебя NT подобная система (NT,2000,XP)
то можешь проверить это у себя.
Посылаю тест.
Можно и просто набрать в дебагере код для smsw eax
посмотреть результат, перейти в SoftIce набрать там CPU,
посмотреть на значение CR0.





_324751327__scl.zip

В аттаче DumpXDT.zip by EliCZ. Может до сих пор у него лежит...http://www.anticracking.sk/EliCZ/ ->Раздел Exports

Запустить с ключиком \r.


The Svin, копаться в этом мне лень, но у мя все эти способы выдают значение cr0 с установленным 17-м битом, хотя айс всегда кажет со сброшенным. Т.е.:

Програмно:
CR0=8001003B

Айс:
CR0=8000003B


476583848__DumpXDT.zip

на MessageBox что у тебя?
2 значения одинаковые?
Похоже бит система сбрасывает в определённых нитях.

[ The Svin: на MessageBox что у тебя? ]

Перед вызовом MessageBox айс говорит , что cr0=8000003B.
А MessageBox - "mov eax,cr0=8001003B; smsw eax = 8001003B"

Т.е. в одном процессе smsw reg32 и mov reg32,cr0 одно показывают. А то я испугался :)

Интересно, сам Sice меняет CR0 или система/оба.
Sice в NT конкретно использует модификацию CR0
в модуле siwvid.sys (как то с видео связано?)

Вот кусочек из siwvid.sys

.0001449B: 50 push eax
.0001449C: 25FFFFFEFF and eax,0FFFEFFFF
.000144A1: 0F22C0 mov cr0,eax
.000144A4: BFA0020100 mov edi,0000102A0
.000144A9: E8EA000000 call .000014598
.000144AE: 58 pop eax
.000144AF: 0F22C0 mov cr0,eax
.000144B2: 58 pop eax

Сам модуль siwvid.sys в памяти.
Снимает этот кусок как раз 16ый бит - WP.

И вот маленький справочник-програмку я написал,
она показывает текущее состояние CR0, и если
щелкнуть мышкой по имени флага - внизу появляется
описание этого флага.


_68431540__CR0.ZIP

А вспомнил я эту фичу. Разумеется айс манипулирует cr0 для получения права писать в защищенные от записи страницы.