x64跑32位程序

在x64跑32位程序，API调用。
正常的程序
32-bit NtAllocateVirtualMemory->Wow64 transition->64-bit NtAllocateVirtualMemory->SYSCALL
恶意的程序
直接调用Jmp 0x33->64-bit NtAllocateVirtualMemory->SYSCALL

x23 = x86 mode
0x33 = x64 mode

处理器一般在x86上
将变量从32位扩展到64位，从堆栈获取参数到寄存器，将所有内容放到合适的地址空间并找到正确的系统调用。