系统调用

API函数的调用过程（3环部分）

1、Windows API

1) Application Programming Interface，简称 API 函数。

2) Windows有多少个API?

主要是存放在 C:\WINDOWS\system32 下面所有的dll

3) 几个重要的DLL

Kernel32.dll:最核心的功能模块，比如管理内存、进程和线程相关的函数等.
User32.dll:是Windows用户界面相关应用程序接口,如创建窗口和发送消息等. GDI32.dll:全称是Graphical
Device Interface(图形设备接口),包含用于画图和显示文本的函数.比如要显示一个程序窗口，就调用了其中的函数来画这个窗口.
Ntdll.dll:大多数API都会通过这个DLL进入内核(0环).

API函数3环进0环

出0环

通过_KiServiceExit返回，有三种返回方式：
1、3环通过sysentre进入（syseixt）
2、3环通过int进入（iretd） //这个发生了权限切换
3、0环调用（iretd）//没有发生权限切换

系统服务表

判断第13位是0还是1