windows内核情景分析---系统调用

windows内核情景分析—系统调用

1.用户空间中的进程如何进行系统调用

用户空间与系统空间所在的内存区间不一样，同样，对于这两种区间，CPU的运行状态也不一样。

在用户空间中，CPU处于”用户态”；在系统空间中，CPU处于”系统态”。

CPU从系统态进入用户态是容易的，因为可以执行一些系统态特有的特权指令，从而进入用户态。

而相反，用户态进入系统态则不容易，因为用户态是无法执行特权指令的。

所以，一般有三种手段，使CPU进入系统态（即转入系统空间执行）：

　　①中断：来自于外部设备的中断请求。当有中断请求到来时，CPU自动进入系统态，并从某个预定地址开始执行指令。中断只发生在两条指令之间，不影响正在执行的指令。

　　②异常：无论是在用户空间或系统空间，执行指令失败时都会引起异常，CPU会因此进入系统态（如果原先不在系统空间），从而在系统空间中对异常做出处理。异常发生在执行一条指令的过程中，所以当前执行的指令已经半途而废了。

　　③自陷：以上两种都CPU被动进入系统态。而自陷是CPU通过自陷指令主动进入系统态。多数CPU都有自陷指令，系统调用函数一般都是靠自陷指令实现的。一条自陷指令的作用相当于一次子程序调用，子程序存在于系统空间。

2.通过自陷指令调用系统服务流程：

windows系统通过自陷指令”int 0x2e”进入系统空间实现系统调用。

①CPU执行int 0x2e，CPU运行状态切换为系统态

②从任务状态段TSS装入本线程的系统空间的SS和ESP

③依次把用户空间的SS、ESP、EFLAGS、CS、EIP的内容压入系统空间堆栈

④从中断向量表中(Interrupt Descriptor Table)以0x2e为中断向量，开始执行系统空间中的程序。

⑤程序执行后，通过iret(中断返回)指令实现上述过程的逆过程

3.何谓CPU进入系统空间？

（注意：关闭中断，其Irql上升为DIRQL (Device IRQL)）

4.windows提供的自陷指令

int 3：程序入口为_KiTrap3()。用于debug时设置断点。

int 0x2e：程序入口为_KiSystemService()。用于实现windows系统调用。

int 0x2a：程序入口为_KiGetTickCount()。让用户空间程序获取高精度时钟计数。

int 0x2b：程序入口为_KiCallbackReturn()。特殊自陷入口。用于在内核中回调用户空间中的子程序，执行完后，通过0x2b返回系统空间。

int 0x2c/int 0x2d：用于dubug。