好久没有更新了，一眼看去最后一次更新还是 07 年。相隔了一年多啊。

今天记录一些研究 ROS 后的结论，防止以后忘记。

ROS 中(同理 Windows 中)的 App 所调用的 API 先是通过 Kernel32.dll 中的函数然后由此再通过 Ntdll 中的 "sysenter" 指令进入内核中的 ntoskrnl.exe 调用最后的函数。当然有些不需要进入内核的则直接在 Kernel32 中实现的。
ntoskrnl & Ntdll.dll 中分别导出了两套前缀为 Nt* & Zw* 的函数。Ntdll 中的两套函数地定义一模一样，都是通过 eax edx 还传递 service index 和调用参数，最后进入 "sysenter" 的。而 ntoskrnl 中的 Nt* 是真正的函数定义。Zw* 则通过 eax edx 调用的 KiSystemService。

其中 ntdll 中的 Nt* & Zw* 还有 ntoskrnl 中的 Zw* 都是 ROS 中的一个 ncitool.c 在编译过程中生成的。分别存在于 ntdll.s win32k.s zw.s 中。