Windows內核情景分析-系統調用2

x86後來加入的快速系統調用硬件支持，windows則也跟着做了改動，此時如果cpu支持sysenter，則會採用快速系統調用的系統調用形式。  快速系統調用 sysenter 形式的系統調用實例 此時工具生成的NtReadFile爲： 此時與int 0x2e指令上是等價的，堆棧這裏pub ebp ，導致esp的值加4， 這裏  call[ecx]將返回地址壓入，esp的值也加4，所以堆棧上面就是

>>阅读原文<<