这节课呢，我们讲一下kpcr。如果大家想分析呃，想逆向分析操作系统内核代码的话，需要具备两样东西啊，第一个呢就是你对段页那块非常熟悉，段页那块的。代码汇编代码你都看得懂。那么第二个呢？就是你至少要知道三个内核结构体。这三个内核结构体呢，分别是进程结构体eprocess。线程结构体ethread还有一个CPU对应的一个结构体。叫kpcr，这三个结构体你都知道了，你再去分析系统内核代码的时候呢，你才能分析。才能看得明白，如果没有这三个结构体的话，那内核代码你是看不懂的。那么kpcr是什么呢？大家想。每一个进程，每个运行中的进程，它都对应一个结构体来描述当前这个进程的信息，每一个线程呢，也有一个结构体来描述一个线程的信息来记录一个线程的信息。那么kpcr一样的，它是用来描述当前CPU的准确的说，是当前正在运行中的这个CPU。运行中的这个CPU呢？它也需要一个结构体来临时记录一些数据，每一个CPU都有一个这样的一个结构体。这个结构体呢，我们称为kpcr。那么接下来呢，我们就了解一下kpcr里边的一些重要的成员，

当我们之前学这个三环进零环就是API调用的时候呢，大家都有印象。对吧，程序一旦进零环第一件事情就是先切换谁呢？先切换fs寄存器，切换fs寄存器干什么呢？因为在三环的时候fs寄存器指向的是TeB。

TeB是什么？也就是线程相关的描述，线程相关的一个结构体，三环的一个数据结构，对吧？那么你的线程进到零环的时候呢？你不能再指向三环的那个结构体啦。所以呢，它就会换fs寄存器，换完了以后fs 0指向的就是k bcr，也就是当前这个CPU自己的一个内存。一个内存结构体描述它自己的一些想要的信息，每一个CPU一个。那么k bcr里边都有啥都有，什么都存了，什么呢？k bcr里边存储了cpu，本身要使用的一些重要的数据，比如说。只要是CPU，它一定要查两张表。频繁的查询两张表，一个是gdt表，一个是IDT表，对吧？那么gdt表IDT表在哪里呢？就在k bcr里边都存储着。CPU要找的这两个表的基质。我们可以往后看。大家看一下呃，

我们在wind bug里边呢，看一下这个k bcr这个结构体是什么样的？使用dt k bcr.

那么k bcr里边的第一个成员叫nttib，这个结构体我们把这个结构体打开。看一下这个结构体呢，非常重要。大家看这个结构体，这个结构体的第一个成员叫exception list。teb 3环线程不也有一个结构体嘛，叫teb描述当前线程信息的，我在之前的课后练习里边给大家留过相关的。呃，这个任务对吧？teb teb的第一个成员也是nt tab：

它俩这个成员，即teb的成员跟NT_TIB的成员是一样的，就是内容都是一样的呃，类型是一样的，但是存储的内容是不一样的。比如说在三环的时候，teb在三环的时候它的第一个成员虽然也是nttib，它里边第一个成员也是exceptionlist。但是三环的时候，这个exceptionlist存储的是什么呢？存储的是三环的一个异常处理函数的一个链表。也就说这个链表里边存储了所有的异常处理函数，那么在零环的时候呢？零环也有自己的异常处理函数，那存哪呢？也存在这个链表里，对吧？因为程序一旦进零环的时候呢，就找fs了，找fs的时候呢，找fs对应的就是kpcr kpcr里边第一个成员就是他。对吧，这个里边存储的就是零环的程序，一旦出问题了，到哪里找异常处理程序呢？就找这找大家想一想，所以这个kpcr是很重要的。那么，它里边存储的这些信息都是当前CPU要经常使用的信息，这种的才会存到kpcr里，如果不常用的信息，我就没有必要存到kpcr里了。对不对？因为我可以通过别的方式去找嘛？我通过我们通过当前的这个KPCR，可以找到当前的线程KPCR里边有一个成员存储了当前的线程。对不对？我再通过线程，我想找谁就找谁呀，但是呢，你这么找呢，相对就有点麻烦，那怎么办呢？怎么怎么比较好呢？常用的这些信息，经常用的这些信息，我们可以直接存到KPCR里，你比如说现在这个static base和static limit。就当前这个线程的栈底和栈的边界，那这个你CPU在执行的时候永远只能跑一个线程，假设只有一个核的话。对吧，那你如果执行代码的时候，你每执行一行代码，我都得判断一下你这个线程有没有超过你当前这个线程的占比？超过当前线程的对栈的限制，我每次都查一下，那多麻烦呐。所以呢，它就把当前正在执行的这个线程的信息给它存到什么，存到这个k bcr里，那假设线程切换了，换成第二个线程了，那k bcr里边存的这两个占比和占边界一定是第二个线程的。那我假设现在换成第三个线程了，那这两个值(StackBase和StackLimit)一定是第三个线程的，所以大家要理解KPCR存在的价值。就是一个副本，线程相关信息的一个副本，用起来的时候不用再查线程了，对吧？直接查k bcr就够了。这是这两个东西，那么还有一个成员是它的这个0x18这个成员：

幺八，这个成员指向tib自己。它里边存了一个指针，指向自己这么做的好处是什么呢？这么做的好处就是方便，比如说我现在我现在通过程序已经得到我自己的得到这个成员NT_TIB的内容了，得到成员内容后，我想知道它自己的指针是多少呢？我就可以加个偏移0x18。对吧，立马就找到自己的指针是多少了，我们在很多内核结构体里边都能看到，结构体里边会留一个成员指向着自己。这么做的好处就是编程的时候方便。这是这个KPCR。刚才给大家介绍的KPCR里边的这个nttib，这个里边几个非常重要的成员。

那我们再看一下k bcr里边其他的成员：

KPCR里边我们看。这个SelfPcr，你看这个名字就能知道了，又是一个指针，这个指针指向的是哪呢nttib里边的这个成员，它里边有个SelfPcr指针，对吧？这个Self指针因为三环的时候用这个成员了，零环的时候也用这个成员了。那这个成员的作用呢？就是指向当前这个结构体自己那同样的道理k bcr里边的这个指针指向的就是当前k bcr结构体。的指针，它里边存储的值跟当前k bcr里边的指针就指向了当前自己这个k bcr。那么，大家看二零的这个位置，二零的这个位置叫什么呢？叫pr cb，p rcb是什么？pr cb是k bcr里边的一个子结构体，这个子结构体里边也包含了一大堆的。有用的信息。

那么，它这里边存了一个指针，存了一个指针，直接通过这个指针呢，就可以找到这个呃幺二零这个PC rb data。找到这个结构体的类型呢，叫kp rcb。大家可能觉得这块有点晕啊，有必要存这个Prcb指针吗？我直接通过这个KPCR加0x120，我不就直接找到KPCR了吗？为什么还要单独存一个指针呢？对吧，它这样做的好处也是有的，这样做的好处就是说当这个结构体k bcr结构体，如果某一天一旦发生变化，发生变化的话，这个0x120可能就变了。对吧，不准了，变成0x128了，变成0x130了，等等，但没关系，如果你这个有这么一个结构体的话，没关系，你爱怎么变怎么变。我每次我找这个KPRCB的时候呢，我不不直接写成加0x120对吧？我通过我先通过KPCR找到k bcr，然后我通过它二零的这个位置，我把这个指针取出来。我再读这个幺二零，我就不用担心k bcr的结构体一旦发生变化，我就找不到这个KPRCB这个成员的问题了。对吧，所以呢，这个指针目的也是为了方便。

大家再看一下这个三八跟3c的位置，三八跟3c的位置记录的就是什么三八里边存储的是IDT表的基值。3c里边存储的是gdt表里边的基址。一个CPU，它会有自己的一套IDT表和gdt表。IDT表gdt表不是通用的，一个CPU一套。虽然多核的情况下，里边每一个核里边对应的IDT表里边的内容可能是一样的。但是呢，IDT表和gdt表是一个核有一组的。那这是IDT和gdt，大家看这种这种成员CPU都是经常用的，所以呢，KPCR里边存储的都是当前CPU要经常反复使用的成员，这样的话呢，它就可以提高自己的效率，避免了每次我要查什么东西都是通过成员一个一个偏移再去找，那样的话效率就太低了。

那我们再看，在四零的这个位置存储的呢就是tss，一个CPU有一个tss对吧？我们知道tss里边，我们会用到零环的一个栈。tss会用到零环的一个栈，有十个线程，那么只有一个tss，那每个线程进零环的时候为什么都能正确的找到自己的零环的栈呢？那就是因为tss里边存储的永远都是当前这个线程的。零环的栈对吧？也就是那个esp 0，我们学断页的时候，大家应该有印象的，那这都是线程切换的时候，我们要做的事情，线程切换要把当前线程也就是被切换那个线程的零换的栈写到tss里。那我们再看这个0x51的位置，五幺的位置k VCR，五幺的位置存储的就是你当前的这个CPU是编号是多少对吧？如果你只有一个核的话，你看到的肯定是零。在幺二零的这个位置，就是我刚才提的拓展结构体，拓展结构体里边就是呃k bcr里边，其他的一些辅助的一些信息也很重要。那么都存在了呃kp rcb里边这个结构体呢？比较大，大家可以看一下这个结构体：

kprcb对吧？这个结构体。那这个结构体里边有几个？先给大家介绍几个最重要的成员吧，其他的呢，我们就在分析的过程中遇到了再说。

这三个成员呢就是。四零四零八零c的位置kp rcb里边零四零八零c的这个位置kernel thread代表的是当前这个CPU正在跑的那个线程是谁？next thread指的是一会切换的时候，我要切换的那个线程是谁？对吧？idle thread指的是如果一旦没有需要切换的线程，我要跑的空闲线程在哪里？这三个呢，都是与线程切换相关的几个成员。这是我刚才给大家介绍的。

那么最后呢？我们要强调一下哈，我我在之前的几个视频，包括这节课的视频里边给大家介绍了三个结构体。分别是呃e process e thread和k bcr这三个结构体，是我们研究内核必须必须。必须要了解的三个结构体。那么，因为WINDOWS这个操作系统呢？本身它不是开源的，也就是说这些结构体我们如果想了解哪一个成员，它具体是什么作用，没有地方可以借鉴。没有什么可以借鉴的，你只能自己通过逆向它的内核代码去分析。有人说这个不是有很多书，里边已经列出这些结构体的成员都是什么含义了吗？那我要告诉大家列出来的这些，我们只能作为参考。为什么这样讲呢？写内核的书，如果大家想看的话，可以推荐大家两本。只有这两本，我感觉还可以的，一个是内核情景分析，毛泽涛老师写的，还有一个呢，就是WINDOWS内核原理与实现是潘海明老师写的。但是这两本书呢，我们能不能直接照抄呢？不能因为这两本书里边对结构体成员的介绍都是基于源码，它们是有源码的。你比如说内核情景分析，内核情景分析里边它用的呢是react OS这样的一个操作系统，它是基于这个操作系统的源代码。写的这个内核情景分析，这个react OS呢，它实际上是一个山寨的WINDOWS，就是也是一伙人把WINDOWS给逆向出来了，逆完了以后呢，又写了一个操作系统，叫react OS。但是呢，虽然说它也是逆出来的，但是呢，它的版本跟我们现在用的这个版本肯定是不一样的，对吧？那这就意味着我们想要找的很多成员，你想了解成员是怎么回事？

你发现他这本书里边没有？有用的，根本没写对吧？写的呢？跟我们现在这个不一样。那wrk也是一样的wrk用的呢，是WINDOWS公布出来的一套源码。呃，这个这个WINDOWS内核原理与实现是基于wrk的。那wik是微软发布的一套源码，那这个源码里边WI k WINDOWS内核原理与实现里边介绍的结构体有些相同，与我们比如说我们现在学习的时候。跟我们现在学习的这些结构体，你会发现有些是一样的，但是有很多是不一样的。我们的课程是什么？我们的课程不是用这个别人写好的源码，我们是自己去分析，我反复跟大家强调我们的课程这种方式，如果你学会了，以后呢，你可以无视系统升级，对吧？你看它这个。都是按源码的方式去学习操作系统，那如果没有源码了怎么办？WINDOWS不停的去更新，那更新完了新的操作系统，你怎么去学呢？那如果把我们课堂的这个东西掌握了以后，了解了一个它操作系统到底是怎么样执行的一个原理，比如说我们今天是以WINDOWS XP这种方式作为版本去学习。那我们直接我们分析的是什么？我们直接分析的是它的内核源码，我们是逆向它的内核文件，那有了这个底子以后，如果以后你要再去学WINDOWS其他版本的操作系统。也会有很大很大的帮助，对吧？你可能需要做的就是再拓展一下其他方面的知识，再了解一下这个新的结构体，新的操作系统里边有哪些结构体，有什么样主要的变化？具备了这些知识以后，你就可以按照我们现在的这种方式去分析新的操作系统了。对吧，所以呢，我我之前呢给大家介绍的这几个结构体都没有办法呃，100%的把所有的结构体的成员都明确的告诉你它是什么？原因很简单，因为这些结构体我们如果想知道它做什么，只能自己去分析，我给大家列出来这些结构体呢都是。在我们后边分析的过程中，非常重要的一些成员。呃，是要求我们大家先掌握的，背不下来没关系，你至少要先知道。在逆向分析的时候，碰到的时候能想起来。就okay了好了，那这个呢？就是我们这节课的内容。