Windows系统调用机制

    记录一下自己学习Windows系统调用机制的过程。

    当调用一个Windows API时，系统会由用户态切入到内核态，从ring3进入到ring0层。下面结合一个例子来学习一下具体过程。

    这是一个Demo程序，只调用了CreateFile，我们用OllyDbg看一下，它的具体流程是怎样的。

#include "pch.h"
#include <iostream>
#include <algorithm>
#include <Windows.h>

int main() {
    getchar();
    getchar();
    int a[4],t;
    printf("hello world!");
    getchar();
    getchar();
    // 依次往 p 指针中写入数据，再用ReadProcessMemory读取数据
    for (int i = 0; i < 4; i++) {
        WriteProcessMemory(INVALID_HANDLE_VALUE, &a[i], &i, sizeof(int),NULL);
        
    }
    for (int i = 0; i < 4; i++) {
        ReadProcessMemory(INVALID_HANDLE_VALUE, &a[i], &t, sizeof(int), NULL);
        printf("%d\n", t);
    }
    getchar();
    getchar();
    
}

1. 在exe 中 调用 kernel32.ReadProcessMemroy函数

发现什么也没有做，就调用了Kernel32中的ReadProcessMemory

2. 在Kernel​32 中 调用ntdll.ZwReadVirtualMemroy函数

我们发现还是什么也没有做，继续向下跟。

3.在ntdll中

我们发现，函数小的惊人，仅仅只是向eax中赋值了一个常量，向edx赋值了一个函数指针，然后就call了KiFastSystemcall。

这个常量就是函数在SSDT表中的索引，KiFastSystemcall就是从ring3进入ring0的关键。

我们来分析一下 0x7FFE0300这个地址

在Windows中有这样一个结构体

　　该结构体看名字可知是用于内核层与用户层来共享数据所使用的结构体。

　　 kd > dt _KUSER_SHARED_DATA
        　　ntdll!_KUSER_SHARED_DATA
       　　 + 0x000 TickCountLowDeprecated : Uint4B
        　　+ 0x004 TickCountMultiplier : Uint4B
       　　 + 0x008 InterruptTime : _KSYSTEM_TIME
       　　 + 0x014 SystemTime : _KSYSTEM_TIME
        　　+ 0x020 TimeZoneBias : _KSYSTEM_TIME
      　　  + 0x02c ImageNumberLow : Uint2B
      　　  + 0x02e ImageNumberHigh : Uint2B
       　　 ·······

　　　1）在User层和Kernel层分别定义了一个_KUSER_SHARED_DATA结构区域，用于User层和Kernel层共享某些数据。

　　　2）它们使用同一段页，只是映射位置不同。虽然同一页，但User只读，Kernnel层可写。

　　　3）它们使用固定的地址值映射，_KUSER_SHARED_DATA结构在User为:0x7ffe0000,在Kernel层为:0xffdf0000。

1: kd> dd 0x7ffe0000
7ffe0000  00000000 0f99a027 20357ab3 00000009
7ffe0010  00000009 88aa9d60 01d62a9e 01d62a9e
7ffe0020  f1dcc000 ffffffbc ffffffbc 014c014c
7ffe0030  003a0043 0057005c 006e0069 006f0064
7ffe0040  00730077 00000000 00000000 00000000
7ffe0050  00000000 00000000 00000000 00000000
7ffe0060  00000000 00000000 00000000 00000000
7ffe0070  00000000 00000000 00000000 00000000
1: kd> dd 0xffdf0000
ffdf0000  00000000 0f99a027 20357ab3 00000009
ffdf0010  00000009 88aa9d60 01d62a9e 01d62a9e
ffdf0020  f1dcc000 ffffffbc ffffffbc 014c014c
ffdf0030  003a0043 0057005c 006e0069 006f0064
ffdf0040  00730077 00000000 00000000 00000000
ffdf0050  00000000 00000000 00000000 00000000
ffdf0060  00000000 00000000 00000000 00000000
ffdf0070  00000000 00000000 00000000 00000000

        通过windbg我们可以观察到这两块地址的内容完全相同。这个结构

　　1）_KUSER_SHARED_DATA 在用户层的位置为 0x7FFE0000，该地址为其+0x300位置

 　　　　+0x300 SystemCall       : Uint4B

　　2）该成员保存着系统调用的函数入口，如果当前CPU支持快速调用。

　　　　则存储着ntdll.dll!KiFastSystemCall()函数地址；

　　　　如果不支持快速调用，则存储着ntdll.dll!KiIntSystemCall()函数地址

    调用了KiFastSystemCall后系统进入内核态，至此我们已经从ring3进入到ring0。但是还有一个问题，那就是之前传进来的只有一个常量0x155，那么是怎么实现函数的准确调用的呢？这就需要到用到SSDT表的知识。下一节讲解。