直接调用本地API（NTAPI）

---

Windows操作系统中的功能调用流程

在Windows操作系统中，应用程序与操作系统内核之间的交互是通过一系列精心设计的函数调用流程来实现的。让我们以一个常见的操作——创建文件为例，来详细探讨这一流程。

当用户需要通过应用程序创建一个文件时，应用程序首先会调用一个名为CreateFile的WinAPI函数。这个函数是Windows API的一部分，它定义了应用程序与操作系统之间的契约。CreateFile函数是kernel32.dll中提供的一个API，这个DLL是Windows操作系统中最关键的组件之一，因为它向应用程序暴露了WinAPI，因此几乎所有的应用程序都会加载这个DLL。

CreateFile函数在kernel32.dll中实际上是一个封装，它会进一步调用一个名为NtCreateFile的NTAPI函数。NTAPI是Windows操作系统中本地API的集合，这些API提供了更接近操作系统内核的功能。NtCreateFile函数是由ntdll.dll提供的，这个DLL是用户模式下的最后一层，它负责创建从用户模式到内核模式的过渡。

在ntdll.dll中，NtCreateFile函数会被调用，这时会执行一个汇编指令，这个指令是sysenter（在x86架构上）或者syscall（在x64架构上）。这个指令的作用是将处理器的执行模式从用户模式切换到内核模式。这是一个关键的步骤，因为它允许操作系统内核接管控制权࿰