关于x86_64平台Wow64子系统的两个技术问题

问题一：x32dbg中无法看到进程地址空间内的64位ntdll #

• x32dbg是32位调试器，自身运行在Wow64的32位兼容模式下，只能访问进程地址空间的32位低地址区域（通常为0x00000000到0x7FFFFFFF范围）。
• 64位版本的ntdll.dll被加载到Wow64进程的64位高地址区域，这部分空间对32位调试器完全不可见——32位程序默认无法寻址高4GB内存，因此x32dbg无法枚举到该模块。
• Wow64进程实际同时加载了32位wow64.dll（负责模式切换）和64位ntdll.dll，但32位调试器仅能识别同架构的模块。

问题二：CPU加载段选择器时的额外检查机制 #

除你提到的CPL（当前特权级）、RPL（请求特权级）与DPL（描述符特权级）的特权检查外，CPU还会执行以下几类检查：

• 段类型合法性检查：
  • 加载到CS寄存器的必须是代码段描述符，加载到SS/DS/ES等的必须是数据段描述符，类型不匹配会触发#GP（一般保护）异常。
  • 针对代码段，会检查一致性属性：一致性代码段允许低特权级程序调用，但执行时CPL不会改变；非一致性代码段仅允许同特权级或更高特权级（数值更小）的程序访问。
• 段存在性检查：
  • 段描述符的P位（存在位）必须为1，若为0则触发#NP（段不存在）异常，此时系统会尝试加载缺失的段（若启用段交换）。
• 长模式专属检查：
  • 在Wow64模式切换场景中，新代码段描述符的L位（长模式位）必须设为1，D位（默认操作数大小位）必须设为0，否则无法进入64位模式。
  • 长模式下所有段的基址必须为0（符合平坦内存模型要求），若描述符基址非0会触发异常。
• 特权级转换的栈检查：
  • 当从低特权级切换到高特权级（如CPL3→CPL0）时，CPU会自动切换到对应特权级的栈：
    • 验证目标栈的SS段描述符DPL等于目标CPL；
    • 检查栈段是否为可写数据段，且P位为1；
    • 确保栈有足够空间存储旧栈的返回信息（如旧SS、ESP、EFLAGS等）。
• 描述符有效性检查：
  • 加载段选择器时，会验证选择器指向的是GDT/LDT中的有效描述符，选择器索引超出GDT/LDT范围会触发#GP异常。
  • 若通过调用门、中断门等系统段跳转，还会检查门描述符的DPL、存在位，以及门指向代码段的合法性。
• RPL的额外约束：
  • 加载数据段时，RPL与CPL中权限更低的一方（数值更大）必须小于等于段描述符的DPL，否则无法访问该段。
  • 加载CS时，RPL必须等于新代码段的DPL（即新CPL），否则触发#GP异常。

内容的提问来源于stack exchange，提问作者CarloC