x86架构下操作系统如何避免进程访问全局描述符表中其他进程的段基址与段界限

问题1：进程是否可以修改段寄存器？ #

用户态进程允许执行指令修改段寄存器，但写入的取值受到CPU硬件的严格校验，并非任意值都能成功写入。
x86架构中段寄存器存储的是「段选择子」结构，而非直接的索引值，结构包含3部分：低2位是RPL（请求特权级）、第2位是TI（表指示位，标记指向GDT还是LDT）、高13位是段描述符的索引值。
当用户态（运行在ring3特权级）进程执行mov等指令给段寄存器赋值时，CPU会自动校验写入的段选择子合法性：如果选择子指向的段描述符特权级（DPL）低于当前进程特权级（CPL=3），或指向内核专属的系统段，CPU会直接抛出一般保护异常（#GP），终止当前操作。因此用户态进程理论上可以执行修改段寄存器的指令，但只能写入自己有权限访问的合法选择子。 #

问题2：操作系统如何避免进程修改段寄存器后访问其他进程的地址空间？ #

主要有多层软硬结合的防护机制：

• 硬件层面的特权级校验：刚才提到的CPU自动校验段选择子的RPL、CPL、DPL三者是否匹配，用户态进程根本无法把指向其他进程、内核专属段的选择子写入段寄存器，所有非法写入操作都会直接触发异常被操作系统终止。
• GDT的访问权限隔离：全局描述符表GDT本身存储在内核专属的地址空间中，用户态进程没有读写GDT的权限，既无法读取GDT中其他进程、内核的段描述符信息，也无法修改GDT的内容，只能使用操作系统分配给自己的合法段选择子。
• 现代系统的平坦内存模型设计：目前主流的x86操作系统（Linux、Windows等）基本都采用平坦内存模型，所有用户态进程的代码段、数据段的段基址都设为0、段界限设为整个虚拟地址空间的最大值，分段机制实际被弱化，真正的地址空间隔离靠分页机制实现：每个进程有独立的页表，就算用户态进程修改了段寄存器，最终输出的虚拟地址也只会在当前进程的地址空间内，经MMU转译后完全碰不到其他进程的物理内存。
• LDT隔离机制：如果操作系统使用局部描述符表（LDT），会为每个进程分配独立的LDT，进程修改段寄存器时只能指向自己LDT内的合法段描述符，完全无法访问其他进程的LDT内容。

内容的提问来源于stack exchange，提问作者Tyler Durden