内核APC&用户APC详解

首发于奇安信攻防社区：https://forum.butian.net/share/1640

内核APC

线程切换

定位到SwapContext函数，然后查看KernelApcPending的值是否为空，不为空则跳转，这里只是进行判断，我们往上跟

然后回到KiSwapContext

再往上走得到KiSwapThread

这里判断后进行跳转

然后调用KiDeliverApc

系统调用、中断或者异常

当要执行用户APC之前，先要执行内核APC，这里找到KiServiceExit，有一个比较检验UserApcPending的值是否有APC请求

然后调用KiDeliverApc

内核层APC执行

KiDeliverApc

继续往里面跟，判断内核APC的链表是否为空，若不为空则跳转

NormalRoutine

跳转后判断NormalRoutine里面存储的是内核APC的地址还是APC的的总入口，然后再跳转

如果为空向下执行则会调用KernelRoutine对APC进行销毁

跳转过后执行真正的内核APC函数NormalRoutine

内核APC执行流程

用户APC

当产生系统调用、中断或者异常，线程在返回用户空间前都会调用KiServiceExit函数，在KiServiceExit会判断是否有要执行的用户APC，如果有则调用KiDeliverApc函数(第一个参数为1)进行处理。

处理用户APC要比内核APC复杂的多，因为，用户APC函数要在用户空间执行的，这里涉及到大量换栈的操作：

当线程从用户层进入内核层时，要保留原来的运行环境，比如各种寄存器，栈的位置等等 (_Trap_Frame)，然后切换成内核的堆栈，如果正常返回，恢复堆栈环境即可。

但如果有用户APC要执行的话，就意味着线程要提前返回到用户空间去执行，而且返回的位置不是线程进入内核时的位置，而是返回到其他的位置，每处理一个用户APC都会涉及到：

内核-->用户空间-->再回到内核空间

KiDeliverApc

线程进0环时，原来的运行环境(寄存器栈顶等)保存到_Trap_Frame结构体中，如果要提前返回3环去处理用户APC，就必须要修改_Trap_Frame结构体：

比如：进0环时的位置存储在EIP中，现在要提前返回，而且返回的并不是原来的位置，那就意味着必须要修改EIP为新的返回位置。还有堆栈ESP,也要修改为处理APC需要的堆栈。那原来的值怎么办呢?处理完APC后该如何返回原来的位置呢?

KiInitializeUserApc要做的第一件事就是备份：

将原来_Trap_Frame的值备份到一个新的结构体中(CONTEXT)，这个功能由其子函数KeContextFromKframes来完成，代码如下

首先判断参数是否为1，当参数为1的时候处理用户APC

然后进行一系列的操作

KiInitializeUserApc

接着转到KiInitializeUserApc函数

将CONTEXT和TrapFrame传入KeContextFromKframes

这里接着往下看，这里得到C4

C4对应的Esp存储的是3环原来的栈顶

然后以4字节对齐将3环堆栈减去0x2DC个字节，这里是因为要将CONTEXT结构和KAPC的4个参数传给3环

原本三环的ESP如图所示

CONTEXT结构体的大小为0x2CC，KAPC的4个参数的大小为0x10，所以减去0x2DC

这一部分代码主要是将CONTEXT结构复制到3环的堆栈

当windows把CONTEXT结构复制到堆栈之后，准备用户层执行环境，首先修改SS、DS、ES、FS、GS和EFLAGS寄存器

然后修改esp到3环堆栈

KiUserApcDispatcher

然后修改eip，这里永远返回一个固定的位置，但是这个位置在每次系统启动的时候都不相同，存放在3环的ntdll里的KiUserApcDispatcher参数里面

然后到ntdll里面定位到KiUserApcDispatcher，首先得到指向CONTEXT结构的指针，然后pop eax得到NormalRoutine结构，这里当APC是内核APC的时候存储的是真正的APC地址，当APC是用户APC的时候存储的是指向用户APC的总入口

当我们调用QueueUserAPC，并没有指定NormalRoutine结构，只指定了NormalContext和SystemArgument1，那么这个参数在QueueUserAPC内部指定，在kernel32.dll的BaseDispatchAPC，用来调用真正的用户APC函数

再继续往下跟，调用了ZwContinue

使用0x20的调用号利用调用门回到0环

用户APC执行流程

总结：

1.内核APC在线程切换时执行，不需要换栈，比较简单，一个循环执行完毕。

2.用户APC在系统调用、中断或异常返回3环前会进行判断，如果有要执行的用户APC，再执行。

3.用户APC执行前会先执行内核APC。