【驱动之四】Nt和Zw

Ring3中的NATIVE API，和Ring0的系统调用，都有同名的Zw和Nt系列函数，初次接触会感到很迷茫。

现在就以ZwOpenProcess和NtOpenProcess函数为例，详细阐述下他们的分别和联系。

ntdll.dll导出了NtOpenProcess和ZwOpenProcess两个函数，我们记为ntdll!NtOpenProcess和ntdll!ZwOpenProcess。仔细看一下，会发现他们的入口点实际上都是一样的，这就是说，ntdll!ZwOpenProcess仅仅是ntdll!NtOpenProcess函数的别名而已，实现如下：
ZwOpenProcess

.text:7C92D5FE                mov     eax,7Ah         ; NtOpenProcess
.text:7C92D603                mov     edx, 7FFE0300h
.text:7C92D608                call     dword ptr [edx]
.text:7C92D60A                retn     10h

7FFE0300h处是ntdll!KiFastSystemCall的入口，ntdll!KiFastSystemCall会保存起当前的栈指针，然后通过引发0x2e中断，陷入内核。
　　当触发0x2e中断后，CPU将执行环境切换到Ring0状态，然后去调用内核模块的0x2e处理例程nt!KiSystemService。nt!KiSystemService会在参数检查、栈拷贝等操作之后，根据Ring3代码传递过来的调用号0x7A，在SSDT中查找相应的函数地址，然后调用找到的函数。对于我们的例子来说，这个函数就是内核模块的导出函数nt!NtOpenProcess。nt!NtOpenProcess才是真正的打开进程实现函数。但是内核模块也导出了nt!ZwOpenProcess，这个nt!ZwOpenProcess，有什么用处呢？会不会像ntdll!ZwOpenProcess一样，也仅仅是ntdll!NtOpenProcess的一个别名？实际上，nt!ZwOpenProcess并不仅仅是nt!NtOpenProcess一个别名，我们可以看一下nt!ZwOpenProcess的实现：

kd> u nt!ZwOpenProcess
nt!ZwOpenProcess:
804fede8   mov     eax,7Ah
804feded   lea       edx,[esp+4]
804fedf1   pushfd
804fedf2   push     8
804fedf4   call      nt!KiSystemService (8053d891)
804fedf9   ret       10h

　　与ntdll.ZwOpenProcess是不是很接近？nt!ZwOpenProcess也只是让nt!KiSystemService调用SSDT中的第0x7A号函数，他自己本身没有进行任何打开进程的实现。
　　到这儿，就可以总结一下了：用户空间中的Zw***和Nt***的实现都是一样的，比如ntdll!ZwOpenProcess和ntdll!NtOpenProcess的入口都是0x7C92D5FE，ntdll!ZwOpenFile和ntdll!NtOpenFile的入口都是0f7C92D59E。内核空间中的Zw函数，是Nt函数的一个Stup，只是mov系统调用号到eax中，转而直接调用（注意，没有像ntdll!ZwOpenProcess）nt!KiSystemService去从SSDT中找到相应号码的函数再调用之，真正的实现都在Nt***函数中。下面是一个流程图，仅供参考。

【驱动之四】Nt和Zw相关推荐

Nt*和Zw*开头的函数
原文链接:http://blog.csdn.net/tianzhhy/article/details/6184265 http://blog.csdn.net/evi10r/article/detai ...
本地系统服务例程：Nt和Zw系列函数
Windows本地操作系统服务API由一系列以Nt或Zw为前缀的函数实现的,这些函数以内核模式运行,内核驱动可以直接调用这些函数,而用户层程序只能通过系统进行调用.通常情况下用户层应用程序不会直接调用 ...
Nt*和Zw*系列函数的区别
ntdll.dll和ntoskrnl.exe的Nt和Zw系列函数区别 in ring3: lkd> ? ntdll!ZwOpenProcess Evaluate expression: 2089 ...
ntdll.dll和ntoskrnl.exe中的NT*和ZW*函数区别
以NtOpenProcess和ZwOpenProcess为例,结合Windbg的lkd调试来说明 1.Q:ntdll.dll中的Nt*和Zw*区别? lkd> u ntdll!zwopenpro ...
Linux ALSA声卡驱动之四：Codec 以及Codec_dai
ALSA声卡驱动: 1.Linux ALSA声卡驱动之一:ALSA架构简介和ASOC架构简介 2.Linux ALSA声卡驱动之二:Platform 3. Linux ALSA声卡驱动之三:Platf ...
Nt**、Zw**和Rtl** 开头的函数介绍
首先他们都是微软未公开的函数,之所以未公开主要是因为这些函数大部分功能太强大了,把他们公开会让一些别有用心的人利用.9x下的我不知道,NT(含2000/xp)下你可以参考<Windows NT ...
驱动拦截NT的API实现隐藏木马客户端
目前NT下有很多种隐藏文件和目录的方法,其中最简单的一种是给文件和文件夹加上系统属性和隐藏属性,操作系统就会不在显示了,而且查找也找不到了,但是这种方法一点都不彻底,没有可用性!下面我们来介绍用NT驱 ...
Linux ALSA声卡驱动之四：Control设备的创建
声明:本博内容均由http://blog.csdn.net/droidphone原创,转载请注明出处,谢谢! Control接口 Control接口主要让用户空间的应用程序(alsa-lib)可以访问 ...
Windows驱动_WSK驱动之四WSK例程
最近看了好多文章,也写了好多博客,但是,最近少了很多实践的关系,这一部分是项目的问题,其实大部分还是自己的问题,今天,竟然,知道,随便修改一点微软的例子还可以赚钱,之前自己还真是没有想到的.后续,自己 ...

【驱动之四】Nt和Zw

【驱动之四】Nt和Zw相关推荐

最新文章

热门文章