API调用流程（x86)

Windows内核中的执行体层暴露了大量执行体中的对象给Windows用户层的API来操作，那么用户层的API是怎么调用这些功能的呢，比如说创建一个文件，文件是一个内核对象必须得有内核层来处理，所以肯定有一个从用户层到内核层然后内核层解决再返回到用户层的一个流程。

这里以CreateFile举例：(大致流程如下)

可以看到在调用CreateFile时，是直接采用的Kernel32中的CreateFileW函数：

然后跟进Kernel32.CreateFileW函数中：

会跳转到KernelBase中的CreateFileW函数中，继续步入查看：

一直往下翻才能看到NtCreateFile函数，前面的我猜是给创建新文件所需进行初始化的一些代码。

正所谓前人栽树后人乘凉，书上的大牛写的是调用ntdll中的NtCreateFile我们就不要怀疑了，然后步入Ntdll.NtCreateFile查看：

这里的call esi就是调用NtCreateFile的地方，然后继续步入查看：

就成了这样子，这个我也不知道什么意思，就继续call dword ptr ds:[edx]查看：

最后的最后是由三个汇编指令为结尾：

retn是返回指令，表示已经执行完成。

sysenter在od中无法看到，不管是步入还是步过只会直接执行完跳过。

所以目前而言的API调用过程是这样的：

现在不理解的就是NtCreateFile函数内部的代码逻辑：

这几行汇编代码是什么意思。

首先是NtCreateFile中的第一层汇编代码：

这附近的汇编代码都是这样的样式：

这里的eax叫做系统服务号，它代表进入0环后，调用那一个API，就类似于数组和下标的关系，根据下标一对一对应内核中的某一个API，然后内核调用内核的对应的API。

也就是说由eax的值来决定内核API的调用。

所有通过ntdll调用的函数，给edx所传递的值都是一样的，这里都是0x7FFE0300

该值是_KUSER_SHARED_DATA结构体的一个成员，该结构体所在的内存空间是一个提供给User层和Kernel层共享的一个内存空间，该空间主要用来在User和Kernel之间快速传递信息。

该结构体所在的内存空间是固定的：User层下：0x7FFE0000,Kernel层下：0xFFDF0000

edx是该结构体中的SystemCall成员，该结构体成员指定了从User层到Kernel层的调用方式，这里我们可以通过WinDbg来查看一下：

那么图就可以变成这样子：

然后重点就来到了剩下的两个。

这个其实就是函数传参，参数在栈里面，然后把栈的首地址交给edx。

sysenter才是整个调用的关键。

整个调用方式最关键的就是通过sysenter从User层到达Kernel层，可以说前面的都是在给这一步做铺垫。

sysenter叫做快速系统调用，叫快速是因为之前的系统调用不快，在Pentium II（奔腾2代CPU）之后才有的sysenter，在其之前是采用的 KiIntSystemCall函数来处理的。

在IDA下查看：该函数：

这里的int 2Eh，采用的就是一种CPU机制，叫做中断门：

Windows内核中的CPU架构-6-中断门(32-Bit Interrupt Gate) - Sna1lGo - 博客园 (cnblogs.com)

这样调用会用到内存，比较麻烦，所以就引入了快速系统调用：

sysenter/sysexit 两个函数和三个MSR寄存器。

MSR寄存器比较类似内存，直接根据序号来命名，没有像通用寄存器EAX,EBX一样，单独命名。

和sysenter连用的是MSR174和，MSR175,MSR176三个寄存器

sysenter内部逻辑为：

[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课