Windows内核情景分析 学习日志之一

毛德操老师对内核的研究非常透彻，一个小问题都能讲得异常清晰，PFPF。

 

 

系统调用

 

一般只有三种手段可以从用户态进入内核态：

 

1、中断（Interrupt）

2、异常（Exception）

3、自陷（Trap）

4、快速系统调用（FastSystemCall）Pentium 2之后出现

5、调用门 x86系列，基本上无人使用

 

在使用这些进入内核的方法时，同时保存了用户态的CPU、栈和参数信息。

 

stub即为中介函数，位于应用程序和内核之间，通过自陷或快速系统调用进入内核。

 

比如

 

__declspec(naked) __stdcall

NtReadFile(int dummy0, int dummy1, int dummy2)

{

      __asm

      {

            mov eax, 152

            mov ecx, KUER_SHARED_SYSCALL

            call[ecx]

            ret 9

      }

}

 

KUSER_SHARED_SYSCALL 指向用户空间的一个地址，0x7FFE0300(也就是系统空间的0xFFDF0300)，保存一个函数指针，在操作系统初始化时，根据CpuID判断是否支持快速系统调用，而使该指针指向KiIntSystemCall()或KiFastSystemCall()