一、API函数调用过程(3环部分)
ReadProcessMemory调用其他模块中的_NtReadVirtualMemory函数
_NtReadVirtualMemory函数在ntdll.dll模块中
0BAH是一个编号,对应操作系统内核函数的编号。7FFE0300h存放的是一个函数,决定了我们用什么方式进0环
二、API函数的调用过程(3环进0环 上)
7FFE0300h为SystemCall
执行了cpuid指令后,SEP的第11位为1表示支持sysenter/sysexit指令,为0表示不支持
如果支持sysenter/sysexit指令,会将nedll.dll!KiFastSystemCall函数放到_KUSER_SHARED_DATA+0x300中,不支持则将ntdll.dll!KiIntSystemCall函数放到_KUSER_SHARED_DATA+0x300中