zw和nt开头的系统调用的区别

 在RING3下,应用程序调用NT或者ZW效果是一样的。在RING0下,调用NT函数跟ZW函数就不一样了
ZW开头的函数是通过eax中系统服务号去SSDT中查找相应的系统服务,然后调用之
若在驱动中直接调用NT开头的函数是不会经过SSDT的 也不会被SSDT HOOK拦截的
即:在R0下通过调用NT系列函数可以绕过SSDT HOOK
所以微软不推荐你使用Native API 而是让你用WIN32 API

你可能感兴趣的:(zw和nt开头的系统调用的区别)