理解 Windows API 调用过程

我们在应用层调用一个Win32 API, 系统内部究竟是如何执行的， 它是如何从用户态进入到内核态的呢 ？



对于每层一些概念的解释，这里不详述了，具体可以参考理解Windows内核模式与用户模式 .

以Kernel32里的 CreateProcess 为例， 内部会调用 ntdll.dll里导出的NtCreateProcess， ntdll.dll通过一个中断请求int 2Eh（Sysenter）进入内核态， 在内核的Executive Service Routines 层， 内部保存着一张表 “SSDT”（System Service Descriptor Table，系统服务描述符表）， 通过该表找到该API在 执行体 (Executive)（ ntoskrnl.exe ）中导出函数的位置，最终调用系统功能。

下面是另外一张《Windows图形编程》中提到的系统架构图， 我们也可以参考一下:


下面这张《Inside Microsoft Windows 2000》的架构图, 基本上都大同小异:



最后， 总结一下， 微软在Intel处理器上开发Windows操作系统， 我们在Windows操作系统上开发应用程序，无非是一层层的封装， 其实具体到细节， 每层都没有太多神秘的东西。我们当然不可能掌握每层的细节， 只能理解每层的概念， 以帮助我们在应用层更好的开发。