天堂之门研究

天堂之门

在32位进程中，调用32位系统函数的操作是通过WOW64实现的。WOW64在内部转换为64位，然后进行64位DLL的调用，从而实现了在64位机上兼容运行32位的操作。

在长模式下，段寄存器用作权限和标志的区分
使用WinDbg进行调试：

CS:23->gdt偏移:4*8 = 20
CS:33->gdt偏移:6*8 = 30

可以看出23指向的段描述符的Long位为NL，而33指向的为Lo，说明33指向的是64位区域，23指向的是32位区域

对于不同的段选择子，CPU会选择对应的机器码解释方式去翻译机器码。
在软件上，有对应的32位函数实现32到64的转换然后进入64位的操作系统内核，因为(64位的操作系统一定是64位的，要执行内核代码必须先转为64位执行)

WOW64

基本调用流程：
32位进程调用32位系统API，其中系统API调用dword ptr fs:[000000C0]，即TEB表偏移C0的WOW32Reserved，第一行代码为jmp 0033:77877009，表明先切换为64位，然后跳转到77877009，位于wow64cpu.dll中，首先保存了环境堆栈，然后切换为64为的堆栈
最后通过jmp qword ptr [r15+rcx*8]执行函数调用，r15为函数表，rcx为偏移

[分享][原创]汇编里看Wow64的原理（浅谈32位程序是怎样在windows 64上运行的？）-软件逆向-看雪-安全社区|安全招聘|kanxue.com

作用

反调试：几乎所有调试器均不能正常调试切换后的代码
防钩子：如果杀软只对32位DLL执行了Hook，那么这个方法可以直接绕过32位入口直接调用64位函数。

实现

#define SWITCH_TO_X64  \
	do {               \
		__asm push 0x33       \
		__asm _emit 0xE8 \
		__asm _emit 0x00 \
		__asm _emit 0x00 \
		__asm _emit 0x00 \
		__asm _emit 0x00 \
		__asm add dword ptr [esp], 5 \
		__asm retf            \
	} while (0)


#define SWITCH_TO_X86  \
	do {               \
		__asm _emit 0xE8 /* call $+5 */ \
		__asm _emit 0x00 \
		__asm _emit 0x00 \
		__asm _emit 0x00 \
		__asm _emit 0x00 \
		__asm _emit 0xC7 /* mov dword [rsp+4], 0x23 */ \
		__asm _emit 0x44 \
		__asm _emit 0x24 \
		__asm _emit 0x04 \
		__asm _emit 0x23 \
		__asm _emit 0x00 \
		__asm _emit 0x00 \
		__asm _emit 0x00 \
		__asm _emit 0x83 /* add dword [rsp], 0xD */ \
		__asm _emit 0x04 \
		__asm _emit 0x24 \
		__asm _emit 0x0D \
		__asm _emit 0xCB /* retf */ \
	} while (0)