ntdll之api

最新推荐文章于 2025-07-17 13:43:14 发布

B_H_L

最新推荐文章于 2025-07-17 13:43:14 发布

阅读量3.4k

点赞数

分类专栏： MFC

MFC 专栏收录该内容

22 篇文章

订阅专栏

ntdll.dll是Windows系统从ring3到ring0的入口。位于Kernel32.dll和user32.dll中的所有win32 API 最终都是调用ntdll.dll中的函数实现的。ntdll.dll中的函数使用SYSENTRY进入ring0，函数的实现实体在ring0中。

打开NTDLL.dll,惊奇的发现原来CRT的许多基本函数居然都是在这里实现的！甚至包括qsort,ceil这样的函数，还有臭名昭著的 strcpy堆的释放，进程管理，似乎都是在这。于是，我决定，仔细察看一下它，这1410个函数是做什么的

用户模式的代码在调用系统内核函数的时候，首先把一个叫做system call number的数放在EAX中，把参数放在其它的寄存器中了。然后调用INT 2E中断。但是大部分应用程序并不需要直接这么做。通常都是在调用 kernel32.dll等时由他们来调用INT 2E.

内核模式的代码，做法稍微有点不同。他们通常调用由NTOSKRNL.EXE导出的NTDLL.dll中Zw开头的那一系列函数，比如 ZwWaitForSingleObject，　反之，如果是用户级代码需要调用内核，就会利用INT 2E调用WaitForSingleObject.对于许多函数的批量调用，你会明显发现 Zw族要比Rtl族效率高很多。

ntdll.dll中的大部分函数都是undocumented

ntdll中的native api功能非常强大,然而微软却没有提供用户态调用native api的接口,而这些native api所需要的数据结构微软也基本没有公布,幸好有了一批牛人的贡献,给出了很多native api的定义,让我们的生活免去了许多痛苦,本文在介绍了最基本的native api的调用方式之外,还介绍了一种更加优美,移植性更强的调用方式

调用方式一(一般方式):

第一步:声明函数指针
比如我们需要调用NtCreateFile函数,那么我们就需要根据NtCreateFile的定义来声明一个相同类型的函数指针(这样做会让编译器比较高兴)

typedef NTSTATUS ( * MyNtCreateFile) (

OUT PHANDLE FileHandle,

IN ACCESS_MASK DesiredAccess,

IN POBJECT_ATTRIBUTES ObjectAttributes,

// OUT PIO_STATUS_BLOCK IoStatusBlock,

OUT PVOID IoStatusBlock,

IN PLARGE_INTEGER AllocationSize OPTIONAL,

IN ULONG FileAttributes,

IN ULONG ShareAccess,

IN ULONG CreateDisposition,

IN ULONG CreateOptions,

IN PVOID EaBuffer OPTIONAL,

IN ULONG EaLength

);

MyNtCreateFile MyNtCreateFileFun;

第二步: 获取native api在natdll中的地址

MyNtCreateFileFun = (MyNtCreateFile)GetProcAddress (GetModuleHandle( " ntdll.dll " ), " NtCreateFile " );

第三步: 调用native api完成功能

其实这也不算复杂,然而每次在程序移植的时候让我非常的郁闷,每次都要去定义声明函数指针,每次都要在代码中出现获取指定native api地址的代码,又烦又乱,后来终于在<Undocumented Windows 2000 Secrets>中找到了一个更加有可移植性的方法

调用方式二(仍然以NtCreateFile来举例):

第一步:添加ntdll.lib到工程中,(在工程设置里面添加或者加上 #pragma comment(lib,"ntdll.lib") ),ntdll.lib在安装了DDK之后就可以找到

第二步:声明指定native api
我将native api的定义放在了统一的头文件中,以后可以不断的丰富该文件,将来工作量会不断的减小,在使用的时候将该头文件包含进来即可

NativeApiDef.h

define the Native Api

#ifndef GALIHOO_NATIVE_API_DEF

#define GALIHOO_NATIVE_API_DEF

#pragma once

#ifdef __cplusplus

extern " C " {

#endif

typedef LONG NTSTATUS, *PNTSTATUS, **PPNTSTATUS;

#define STATUS_SUCCESS ((NTSTATUS) 0x00000000)

#define STATUS_INFO_LENGTH_MISMATCH ((NTSTATUS) 0xC0000004)

#define STATUS_IO_DEVICE_ERROR ((NTSTATUS) 0xC0000185)

typedef struct _UNICODE_STRING

{

/*000*/ WORD Length;

/*002*/ WORD MaximumLength;

/*004*/ PWORD Buffer;

/*008*/ }

UNICODE_STRING,

* PUNICODE_STRING,

**PPUNICODE_STRING;

#define UNICODE_STRING_

sizeof (UNICODE_STRING)

typedef struct _OBJECT_ATTRIBUTES

{

/*000*/ DWORD Length; // 0x18

/*004*/ HANDLE RootDirectory;

/*008*/ PUNICODE_STRING ObjectName;

/*00C*/ DWORD Attributes;

/*010*/ PSECURITY_DESCRIPTOR SecurityDescriptor;

/*014*/ PSECURITY_QUALITY_OF_SERVICE SecurityQualityOfService;

/*018*/ }

OBJECT_ATTRIBUTES,

* POBJECT_ATTRIBUTES,

**PPOBJECT_ATTRIBUTES;

#define OBJECT_ATTRIBUTES_

sizeof (OBJECT_ATTRIBUTES)

NTSYSAPI

NTSTATUS

NTAPI

NtCreateFile(