команда NTCALL в SoftIce

[[nike]]

Если я не ошибаюсь, команда NTCALL показывает таблицу системных сервисов. Вопрос в том, почему в документации NTDDK ZwCreateFile
называется ZwCreateFile, а в SoftIce она называется NtCreateFile.
Почему имена не совпадают?
P.S. я скорей всего вопрос не очень понятно задал.

[[nike]]

И еще вопросик. IoCreateFile тоже сервис ядра? И если да, то почему SoftIce его не показывает?

[maaaaaad]

почему в документации NTDDK ZwCreateFile
называется ZwCreateFile, а в SoftIce она называется NtCreateFile

Если вещи имеют разные имена, то эти вещи - разные.

в ntoskrnl ZwCreateFile вызывает NtCreateFile через шлюз int 2e.

IoCreateFile тоже сервис ядра?

Да.

И если да, то почему SoftIce его не показывает?

Это вопрос терминологии. Не захотели разработчики включить IoCreateFile в NTCALL. Туда много чего не включено.

[SlavaI]

в ntoskrnl ZwCreateFile вызывает NtCreateFile через шлюз int 2e.

Ага. Только на современных процах есть новый вызов sysenter и могут юзать его.

Разница между Zw и Nt функциями в том что при вызове Zw функции меняется PreviousMode для текущего потока на тот, который был при вызове ф-ции, а при вызове Nt ф-ции он не изменяется. PreviousMode - это поле в структуре KTHREAD которое указывает на то из какого режима (KernelMode or UserMode) был сделан вызов и е в зависимости от этого принимают решение проверять разшение на доступ(DACL) или нет- в случае KernelMode его не проаеряют, UserMode проверяют. То есть если из драйвера вызывать только Nt ф-ции может выйти так, что PreviousMode будет UserMode и начнется проверка разрешений и драйверу не дадут доступ к объекту.

[SlavaI]

Цитата:

IoCreateFile тоже сервис ядра?


Да.

Цитата:

И если да, то почему SoftIce его не показывает?


Это вопрос терминологии. Не захотели разработчики включить IoCreateFile в NTCALL. Туда много чего не включено.

NTCALL показывает только ф-ции из таблицы системных ф-ций- это массив указателей на функции. IoCreateFile не входит туда.

[maaaaaad]

Только на современных процах есть новый вызов sysenter и могут юзать его

Что за sysenter? Где почитать о нем?

[SlavaI]

Что за sysenter? Где почитать о нем?

В Интеловской документации на процессоры, по моему начиная с PII уже есть, в P4 есть точно.