Nt系列函数与Zw系列函数的关系

常有人搞不清这两组函数的关系，因为调用接口和实现功能一样，有些人就认为他们是同一个函数的不同名称。实际上他们是有区别的，借助windbg这个工具，我们就可以一探究竟。

在ring3层，这两组函数确实是同一个函数，用u命令对NtReadFile以及ZwReadFile反汇编发现，他们的起始地址是一样的。调用ntdll.dll这个动态库的函数时，声明成这两种形式都可以，不过按照微软的说法，声明成Nt函数更恰当些，Zw开头的函数表示的是内核函数。熟悉ntdll.dll这个动态库的人都知道，其实这个库里面的函数都是stub函数，并不做实际功能，只是系统调用进入内核的入口。

到了ring0层情况就不同了，两种形式的函数是不同的函数，Nt开头的函数是真正执行功能的函数。应用层所用的系统API都会通过int 2e或者sysenter指令切换到内核，然后调用内核导出的Nt系列函数。分析SSDT表即可以得出这个结论。

而对于内核态的Zw开头的函数，通过汇编也可以发现，它的结构与ntdll.dll里面的函数类似，最后都会调用对应的内核nt函数，只不过已经在内核态，就没有int 2e这种切换状态的指令，也没有陷阱帧，但调用形式差不多，都是通过调用号来从SSDT中找到实现功能的Nt函数。微软建议内核开发者使用Zw系列的函数，因为这些函数多了一些参数检查的代码。

Nt系列函数与Zw系列函数的关系相关推荐

Nt*和Zw*系列函数的区别
ntdll.dll和ntoskrnl.exe的Nt和Zw系列函数区别 in ring3: lkd> ? ntdll!ZwOpenProcess Evaluate expression: 2089 ...
本地系统服务例程：Nt和Zw系列函数
Windows本地操作系统服务API由一系列以Nt或Zw为前缀的函数实现的,这些函数以内核模式运行,内核驱动可以直接调用这些函数,而用户层程序只能通过系统进行调用.通常情况下用户层应用程序不会直接调用 ...
[转]OllyDBG 入门系列（三）－函数参考
标题: [原创]OllyDBG 入门系列(三)-函数参考作者: CCDebuger 时间: 2006-02-14,23:34 链接: http://bbs.pediy.com/showthr ...
十分钟成为 Contributor 系列 | 为 TiDB 重构 built-in 函数
2019独角兽企业重金招聘Python工程师标准>>> 这是十分钟成为 TiDB Contributor 系列的第二篇文章,让大家可以无门槛参与大型开源项目,感谢社区为 TiDB 带 ...
JavaScript进阶系列01,函数的声明，函数参数，函数闭包
本篇主要体验JavaScript函数的声明.函数参数以及函数闭包. □ 函数的声明 ※ 声明全局函数通常这样声明函数: function doSth() { alert("可以在任何时候调 ...
[译]Effective Kotlin系列之探索高阶函数中inline修饰符(三)
简述: 不知道是否有小伙伴还记得我们之前的Effective Kotlin翻译系列,之前一直忙于赶时髦研究Kotlin 1.3中的新特性.把此系列耽搁了,赶完时髦了还是得踏实探究本质和基础,从今天开始 ...
openresty开发系列14--lua基础语法3函数
openresty开发系列14--lua基础语法3函数一)function (函数) 有名函数: optional_function_scope function function_name( ar ...
vue函数如何调用其他函数?_好程序员Python教程系列之递归函数与匿名函数调用...
好程序员Python教程系列递归函数与匿名函数调用,函数是Python技术学习中重要的一个环节,深入掌握该阶段的知识内容,对于Python技术能力的提升非常有帮助,这里就针对递归函数与匿名函数两种函数 ...
深入理解javascript函数进阶系列第一篇——高阶函数
前面的话前面的函数系列中介绍了函数的基础用法.从本文开始,将介绍javascript函数进阶系列,本文将详细介绍高阶函数定义高阶函数(higher-order function)指操作函数的函数 ...

Nt系列函数与Zw系列函数的关系

Nt系列函数与Zw系列函数的关系相关推荐

最新文章

热门文章