最近,我在* NIX操作系统中使用了很多汇编语言。我想知道Windows域。
Linux中的调用约定:
mov $SYS_Call_NUM, %eax mov $param1 , %ebx mov $param2 , %ecx int $0x80
而已。这就是我们应该如何在Linux中进行系统调用。
linux中所有系统调用的参考:
关于哪个$ SYS_Call_NUM和哪个参数,我们可以使用此引用:http ://docs.cs.up.ac.za/programming/asm/derick_tut/syscalls.html
官方参考:http : //kernel.org/doc/man- pages/online/dir_section_2.html
Windows中的调用约定:
???
Windows中所有系统调用的参考:
非官方的:http : //www.metasploit.com/users/opcode/syscalls.html,但是除非我知道调用约定,否则如何在汇编中使用它们。
官方:???
现在,所谓的本机API怎么了?是Native API与System calls for windows二者都是指同一事物的不同方面?为了确认,我比较了两个非官方来源的数据
Native API
System calls for windows
系统调用:http : //www.metasploit.com/users/opcode/syscalls.html
本机API:http://undocumented.ntinternals.net/aindex.html
我的观察:
Nt
System Call of windows
任何人都可以确认并解释。
编辑:
还有另一个答案。这是第二个答案。我真的很喜欢它,但是我不知道为什么应答者删除了它。我要求他重新发布他的答案。
如果要在Windows下进行汇编编程,则不要进行手动syscall。您可以使用NTDLL和本机API来完成此任务。
本机API只是围绕内核模式方面的包装。它所做的只是为正确的API执行syscall。
您永远不需要手动进行系统调用,因此整个问题都是多余的。
Linux syscall代码不会更改,Windows会更改,因此,您需要遍历额外的抽象层(也称为NTDLL)。
而且,即使您在组装级别工作,您仍然可以完全访问Win32 API,因此没有理由使用NT API。导入,导出等在组装程序中都可以正常工作。
编辑2:
如果您确实要进行手动syscall,则需要为每个相关的Windows版本反转NTDLL,添加版本检测(通过PEB),并为每个调用执行syscall查找。
但是,那将是愚蠢的。NTDLL在那里是有原因的。
人们已经完成了逆向工程部分:有关每个Windows内核的系统调用号表,请参阅https://j00ru.vexillium.org/syscalls/nt/64/。(请注意,即使在Windows 10的各个版本之间,以后的行也会发生更改。)同样,在您自己的计算机上进行仅供个人使用的实验以了解有关asm和/或Windows内部组件的更多信息之外,这也是一个坏主意。不要将系统调用内联到您分发给其他任何人的代码中。