在調試程序中，經常發現程序最后會調用到系統態的程序。這個過程是怎樣的？用戶空間的程序怎樣進行系統調用，在此過程中是怎樣進入和退出內核的。

根據運行狀態和執行代碼所在的內存空間的不同，CPU既可以運行于非特權的“用戶態”，也可以運行于特權的“系統態”。CPU從系統空間裝入用戶空間是容易的，CPU可以通過一些特權指令改變其運行狀態，反過來要從用戶空間轉到系統空間就不容易了，因為運行于用戶態的CPU不能執行特權指令。

一般而言有三種方式可以使運行于用戶態的CPU轉入到系統態，下面只說一下Windows是如何利用IA-32處理器的SYSENTER、SYSEXIT指令實現快速系統調用的。

Windows 2000或之前的Windows不支持快速系統調用，它們只能使用INT 2E的方式進行系統調研。在Windows XP和Windows Server 2003或以后版本在啟動時會通過CPUID指令檢測是否支持快速系統調用。如果支持，那么Windows會使用新的方式進行系統調用。

使用快速系統調用需要如下工作：

在GDT中建立4個段描述符，分別用來提供SYSENTER指令進入內核模式時使用的代碼段（CS）和棧段（SS），以及SYSEXIT指令從內核模式返回用戶模式時使用的代碼段（CS）和棧段（SS）。

設置專門用于系統調用的MSR寄存器，SYSENTER_EIP_MSR用于指SYSENTER指令要跳轉的目標例程地址。Windows會將其設置為KiFastCallEntry的地址。SYSENTER_CS_MSR寄存器用來指定新的代碼段，也就是KiFastCallEntry所在的代碼段。SYSENTER_ESP_MSR用于指定新的棧指針（ESP）。

將一段名為SystemCallStub的代碼復制到SharedUserData內存區，該區在被映射到每個Win32進程的進程空間中，這樣當應用程序每次進行系統調用時，NtDll中的Stub函數便調用這段SystemCallStub代碼。

以下以Notepad為例，看看Notepad在調用NtWriteFile時的CPU從用戶態到系統態的轉換過程。

使用Windbg掛著VWare用運行的Windows XP系統，在Notepad的主線程上設置ntdll!NtWriteFile的斷點。

?

kd> !process 0 3 notepad.exe
PROCESS 81bd4658 SessionId: 0 Cid: 07a8 Peb: 7ffdf000 ParentCid: 0590
DirBase: 1a8a3000 ObjectTable: e1ae2678 HandleCount: 38.
Image: notepad.exe
VadRoot 81e1ef30 Vads 62 Clone 0 Private 169. Modified 13. Locked 0.
DeviceMap e17b2e98
Token e1b8ece8
ElapsedTime 00:01:50.327
UserTime 00:00:00.062
KernelTime 00:00:01.968
QuotaPoolUsage[PagedPool] 32228
QuotaPoolUsage[NonPagedPool] 2480
Working Set Sizes (now,min,max) (1267, 50, 345) (5068KB, 200KB, 1380KB)
PeakWorkingSetSize 1267
VirtualSize 33 Mb
PeakVirtualSize 34 Mb
PageFaultCount 1330
MemoryPriority BACKGROUND
BasePriority 8
CommitCharge 479
THREAD 81e068e8 Cid 07a8.0340 Teb: 7ffde000 Win32Thread: e176ad58 RUNNING on processor 0

kd> bp /t 81e068e8 ntdll!ntwritefile

?

如上設置斷點后，在Windows XP中使用Notepad保存文件就會斷在ntdll!ZwWriteFile。

kd> kb
ChildEBP RetAddr Args to Child
0006fa04 77e673b1 0000057c 00000000 00000000 ntdll!ZwWriteFile
0006fa64 010048e8 0000057c 00092c40 000000b8 kernel32!WriteFile+0xf7
0006fa9c 01004cb4 0000057c 000004e4 00000400 notepad!___PchSym_+0x6e8
0006fad8 01002a1f 000701c0 01009900 00099570 notepad!___PchSym_+0xab4
0006fafc 00000000 00000000 00000000 00000000 notepad!ServiceStarter+0x6b

反匯編ntdll!ZwWriteFile可以看到調用了SystemCallStub

ntdll!ZwWriteFile:
001b:77f3f010 b812010000 mov eax,112h
001b:77f3f015 ba0003fe7f mov edx,offset SharedUserData!SystemCallStub (7ffe0300)
001b:77f3f01a ffd2 call edx
001b:77f3f01c c22400 ret 24h
001b:77f3f01f 90 nop?

反匯編SharedUserData!SystemCallStub查看它的代碼，它代碼作用是：把棧指針（ESP）放到EDX中，可以傳遞參數，也作為從內核模式返回時的棧地址。再執行SYSENTER指令。

SharedUserData!SystemCallStub:
7ffe0300 8bd4 mov edx,esp
7ffe0302 0f34 sysenter
7ffe0304 c3 ret?

當執行SYSENTER指令時，CPU進入系統態，并且：

• 把寄存器SYSENTER_CS_MSR的內容復制到段寄存器CS中。
• 把寄存器SYSENTER_EIP_MSR的內容復制到寄存器EIP中。
• 把寄存器SYSENTER_CS_MSR的內容+8寫入堆棧段寄存器SS中。
• 把寄存器SYSENTER_ESP_MSR的內容復制到堆棧指針ESP中。

這樣，只要預先設置好三個MSR寄存器的內容中，CPU在執行SYSENTER后就可以進入系統空間并從預定的地址執行程序，同時開始使用系統空間的堆棧。通過WinDbg中rdmsr命令可以查看到MSR寄存器的內容，可以看到SYSENTER_EIP_MSR指向nt!KiFastCallEntry，這就是系統空間中快速系統調用的總入口。nt!KiFastCallEntry中再進入nt!KiSystemService。

kd> rdmsr 174
msr[174] = 00000000`00000008
kd> rdmsr 175
msr[175] = 00000000`00000000
kd> rdmsr 176
msr[176] = 00000000`80599770
kd> u 80599770
nt!KiFastCallEntry:?

從nt!KeServiceDescriptorTable中可以看到第112h是對應著nt!NtWriteFile。

kd> dds poi(nt!KeServiceDescriptorTable) + 112*4
8050f0f4 805e81cc nt!NtWriteFile
8050f0f8 805e8a94 nt!NtWriteFileGather
8050f0fc 80635c50 nt!NtWriteRequestData
8050f100 8065ff93 nt!NtWriteVirtualMemory?

在nt!NtWriteFile設置斷點就可以斷下，在Windbg中使用如下命令就可以看到結果。

kd> bp /t 81e068e8 nt!NtWriteFile
kd> k
ChildEBP RetAddr
f59347ac 8059994c nt!NtWriteFile
f59347ac 7ffe0304 nt!KiSystemService+0x13b
0006fa00 77f3f01c SharedUserData!SystemCallStub+0x4
0006fa04 77e673b1 ntdll!ZwWriteFile+0xc
0006fa64 010048e8 kernel32!WriteFile+0xf7
0006fa9c 01004cb4 notepad!___PchSym_+0x6e8
0006fad8 01002a1f notepad!___PchSym_+0xab4
0006fafc 00000000 notepad!ServiceStarter+0x6b?

上面列出了程序從用戶空間轉到系統空間的過程，那么怎么從系統空間中返回呢？堆棧指針保存在哪里？

在nt!KiFastCallEntry中在進入nt!KiSystemServic前會保存0x7ffe0304到ECX，并壓入堆棧。0x7ffe0304就是用戶態的返回地址，對應著SharedUserData!SystemCallStub函數中的Ret指令。

在調用返回時，會把堆棧POP到ECX中，再調用SYSEXIT。當CPU執行SYSEXIT指令時，CPU回到用戶態，并且：

• 把CS設置成（SYSENTER_CS_MSR的內容+16），這實際上是KGDT_R3_CODE。
• 把寄存器EDX的內容復制到EIP。
• 把SS設置成（SYSENTER_CS_MSR的內容+24），這實際上是KGDT_R3_DATA.
• 把寄存器ECX的內容復制到ESP。

kd> u nt!KiSystemCallExit2
nt!KiSystemCallExit2:
80599ae0 5a pop edx
80599ae1 83c408 add esp,8
80599ae4 59 pop ecx
80599ae5 fb sti
80599ae6 0f35 sysexit

轉載于:https://www.cnblogs.com/Quincy/archive/2010/03/27/1698604.html

總結

以上是生活随笔為你收集整理的用户态程序调用系统态程序-快速系统调用的全部內容，希望文章能夠幫你解決所遇到的問題。

如果覺得生活随笔網站內容還不錯，歡迎將生活随笔推薦給好友。