从Ring0(内核)切换至Ring3(用户)数据段触发Segmentation Fault问题排查

我正在编写一个玩具操作系统，尝试仅通过分段而非分页机制实现内存保护，隔离内核与用户空间。以下是我的GDT配置：

gdt_start:
    
    dd 0x0 ; 4 byte
    dd 0x0 ; 4 byte


gdt_code: 
    dw 0xfff7    ; segment length, bits 0-15
    dw 0x0       ; segment base, bits 0-15
    db 0x0       ; segment base, bits 16-23
    db 10011010b ; flags (8 bits)
    db 11001111b ; flags (4 bits) + segment length, bits 16-19
    db 0x0       ; segment base, bits 24-31


gdt_data:
    dw 0xfff7
    dw 0x0
    db 0x0
    db 10010010b
    db 11001111b
    db 0x0

U_code: 
    dw 0xfff7    ; segment length, bits 0-15
    dw 0x0008       ; segment base, bits 0-15
    db 0x0       ; segment base, bits 16-23
    db 11111010b ; flags (8 bits)
    db 11001111b ; flags (4 bits) + segment length, bits 16-19
    db 0x0       ; segment base, bits 24-31


U_data:
    dw 0xfff7
    dw 0x0008
    db 0x0
    db 11110010b
    db 11001111b
    db 0x0
gdt_end:

其中U_data和U_code为Ring3用户空间段。当处于Ring0内核空间时，执行以下代码切换数据段：

mov ax, 0x20 
mov ds, ax
mov ss, ax
mov es, ax
mov fs, ax
mov gs, ax

触发了Segmentation Error(13)，请问我哪里配置错误？

错误原因分析 #

1. 用户段基址配置错误

你给U_code和U_data的基址低16位设置为0x0008，导致这两个段的基址变为0x00000008。由于G位（段粒度位）设为1，段长度是0xfffff * 4KB = 4GB，用户段的覆盖范围是0x8到0x8 + 4GB - 1。

而内核的栈、数据通常位于低地址范围（比如0x0到0x7），切换到U_data段后，访问这些地址会触发段越界检查失败，尤其是切换ss寄存器时，当前栈指针指向的地址不在U_data段的覆盖范围内，直接触发#GP（13号）错误。

2. 选择子RPL与段DPL不匹配

你使用的选择子0x20二进制为100000，最后两位是00，即请求特权级（RPL）为Ring0。但U_data段的描述符特权级（DPL）是Ring3。

根据x86分段权限规则：加载数据段寄存器（ds/es/fs/gs）时，必须满足CPL >= DPL 或 RPL >= DPL。当前CPL是Ring0（小于DPL3），RPL也是Ring0（小于DPL3），完全不满足权限检查条件，触发保护错误。

另外，ss寄存器的切换有更严格的规则：从高特权级切换到低特权级的ss时，必须同时保证栈指针落在目标段的范围内，且选择子的RPL必须等于目标段的DPL，否则直接触发错误。

修复方案 #

1. 修正用户段基址

将U_code和U_data的基址低16位改回0x0，与内核段保持一致，确保段覆盖整个4GB地址空间（实现权限隔离而非地址空间隔离）：

U_code: 
    dw 0xfff7    ; segment length, bits 0-15
    dw 0x0       ; 修正为0x0，段基址全为0
    db 0x0       ; segment base, bits 16-23
    db 11111010b ; flags (8 bits)
    db 11001111b ; flags (4 bits) + segment length, bits 16-19
    db 0x0       ; segment base, bits 24-31


U_data:
    dw 0xfff7
    dw 0x0       ; 修正为0x0
    db 0x0
    db 11110010b
    db 11001111b
    db 0x0

2. 调整选择子的RPL

如果确实需要从Ring0加载Ring3数据段，将选择子的RPL设为3，使用0x23（0x20 | 0x3）作为选择子：

mov ax, 0x23 
mov ds, ax
mov es, ax
mov fs, ax
mov gs, ax
; 注意：不要直接切换ss到Ring3段，这需要配合栈指针调整和特权级切换流程，建议通过iret指令完成完整的Ring0到Ring3切换

3. 正确的Ring0到Ring3切换方式

手动加载用户段寄存器风险极高，标准做法是通过iret指令完成切换：

1. 在内核栈上依次压入用户栈的SS、ESP、EFLAGS、用户代码段CS、EIP
2. 确保CS和SS的选择子RPL为3
3. 执行iret指令，处理器会自动完成特权级切换和段寄存器加载

内容的提问来源于stack exchange，提问作者Jacob Knuth