ntdll中的zw函数和krl里的zw函数中有相同的ssdt服务号

来源于od，并没有看到有NtCreateFile

ntdll  zwCreateFile

-------------------------

7C92D090 >/$  B8 25000000   mov eax,0x25
7C92D095  |.  BA 0003FE7F   mov edx,0x7FFE0300
7C92D09A  |.  FF12          call dword ptr ds:[edx]                  ;  ntdll.7C99B500
7C92D09C  \.  C2 2C00       retn 0x2C

来源于windgb

nt!ZwCreateFile:

---------------------
80501010 b825000000      mov     eax,25h
80501015 8d542404        lea     edx,[esp+4]
80501019 9c              pushfd
8050101a 6a08            push    8
8050101c e830140400      call    nt!KiSystemService (80542451)
80501021 c22c00          ret     2Ch

但是用peiD查看 NTQuerySystemInformation 和 ZwQuerySystemInformation 函数地址不一样，且函数不一样。

NtCreateFile

------------------------------------
7C92D020: B81E000000               MOV EAX, 0000001EH

7C92D025: BA0003FE7F               MOV EDX, 7FFE0300H

7C92D02A: FF12                     CALL [EDX]

7C92D02C: C20400                   RETN 0004H

ZwCreateFile
7C92D090: B825000000               MOV EAX, 00000025H

7C92D095: BA0003FE7F               MOV EDX, 7FFE0300H

7C92D09A: FF12                     CALL [EDX]

7C92D09C: C22C00                   RETN 002CH