内核知识第12讲,SSDT表.以用户模式到系统模式的两种方式.
一丶IDT解析....我们知道.IDT表中存放着各种中断信息.比如当我们调用int 3的时候,则会调用IDT表中的第三项来进行调用. 而函数地址则是操作系统给的.
因为中断是CPU和操作系统通信的一种方式....当然,我们也可以自己计算.不用通过 !idt 3给.
我们说过,IDT表中存放的是门描述符号,也就是说真正的函数地址我们要自己查分.拆分开和上面一样.
,可以简单看下下面这张表....其中微软以前用到的是 2E的区域, 也就是说. 2E的表项是微软放函数地址的地方.
二丶查看int 2E 区域. 对其反汇编....API,是我们的 KiSystemService
我们可以看一下 zw系列的API,其内部调用的就是这个.
而这个函数的作用,就是查表.取0环的函数地址.