Windows内核情景分析-系统调用2

x86后来加入的快速系统调用硬件支持，windows则也跟着做了改动，此时如果cpu支持sysenter，则会采用快速系统调用的系统调用形式。 

快速系统调用 sysenter 形式的系统调用实例

此时工具生成的NtReadFile为：

此时与int 0x2e指令上是等价的，堆栈这里pub ebp ，导致esp的值加4， 这里  call[ecx]将返回地址压入，esp的值也加4，所以堆栈上面就是一样的。

 CPU进入系统态

• CPU运行状态转入系统态，具有执行“特权指令”的能力。
• CPU同MMU共同作用，现在可访问内核的虚拟地址空间。
• 进程堆栈从用户堆栈切换到系统空间堆栈，用户空间堆栈指针以及其他寄存器压入系统空间堆栈。
• 关中断，查找IDT，进入中断访问程序。
• 异常和自陷也有中断向量。

IDT描述符结构