如何查找fs:28h指向的内存地址？GDB调试问题求助

问题背景 #

出于兴趣调试带有栈保护（stack guard）的静态链接x86-64 Linux程序时，发现程序从fs:28h向栈写入金丝雀值，但遇到两个问题：

1. GDB运行在用户态（非0环），无法查看GDTR/LDTR的值；
2. 使用GDB读取fs寄存器时显示值为0，而GDT/LDT的第一个索引（0）本应返回无效地址，对此存在困惑。

程序文件信息：

file: ELF 64-bit LSB executable, x86-64, version 1 (GNU/Linux), statically linked

关键原理说明 #

在x86-64 Linux的用户态环境中，段寄存器的作用已被大幅弱化，采用扁平化地址空间设计。对于fs寄存器：

• 你看到的GDB输出中fs值为0，指的是段选择子为0，但Linux并不依赖GDT/LDT来设置fs的基地址，而是通过**模型特定寄存器（MSR）0xC0000100（FS.base）**直接指定基地址。这就解释了为什么段选择子为0却能访问有效内存——FS.base会覆盖段机制中的基地址计算。

具体解决步骤 #

1. 获取FS.base的基地址 #

在GDB中，可通过读取MSR寄存器来获取fs的基地址：

• 执行命令读取MSR 0xC0000100：

  (gdb) set $fs_base = $rdmsr(0xc0000100)
  

• 验证基地址：

  (gdb) p/x $fs_base
  

2. 计算fs:28h对应的线性地址 #

直接将基地址与偏移0x28相加：

(gdb) p/x $fs_base + 0x28

3. 验证金丝雀值 #

读取该地址的值，并与栈上的金丝雀对比（可通过查看栈帧或反汇编__stack_chk_fail相关代码找到栈上金丝雀的位置）：

(gdb) x/gx $fs_base + 0x28

补充说明 #

无需纠结GDTR/LDTR的查看问题——x86-64用户态下，fs/gs这类寄存器的基地址完全由MSR控制，和GDT/LDT无关，因此不需要访问0环的GDTR寄存器就能获取目标地址。

内容的提问来源于stack exchange，提问作者music music