红蓝对抗----Ring3到Ring0系统调用过程上（Ring3篇）

目录

为什么学？

环境配置

实战开始

示例代码

IDA分析示例PE文件

IDA分析kernel32.dll

IDA分析Kernelbase.dll

IDA分析ntdll.dll

总结

---

这篇文章我们将研究CreateFile是如何从Ring3到Ring0，其中经过了哪些模块，而这些模块又是通过什么技术关联起来的。通过这一篇文章的学习，我们可以更好的了解操作系统内部的调用原理，更能帮助我们深入理解操作系统的各组件的相互调用关系。

为什么学？

如果你想在操作系统上达成以下事情，那么学习这篇文章就是你最好的选择。或者你有下列想法，那么通过举一反三，也是可以做到的。
1.做Hook。Hook可以做的事情非常多，账密拦截，HTTPS拦截。
2.研究和挖掘系统级别漏洞。
3.Rootkit研究。
4.夯实操作系统基础知识。

环境配置

1.在vmware安装win7 sp1 32位。
2.在win7 sp1 32位Windbg设置Symbol File Path为 SRV*c:\symbols*http://msdl.microsoft.com/download/symbols（需要翻墙），勾选Reload后会下载符号。
3.下载符号完毕后将下载好的c:\symbols拷贝到物理机器。
4.使用VirtualKD进行双机调试。

实战开始