0x00.说在前面
就我们所知，Windows操作系统内核的陷阱处理器会分发中断、异常和系统服务调用，这里我们就其中的系统服务分发简单解析一下。
0x01.粗看不同处理器进入系统调用
（1）.在PentiumII 之前的x86处理器上，Windows使用int2e指令产生一个陷阱，导致执行线程转到内核模式，进入系统服务分发器，eax保存系统服务号，edx指向参数列表。最后通过iret指令返回用户模式;
我们查看IDT的2e成员，得知该成员保存的地址是系统调用分发器的地址，紧接着u一下KiSystemService，会发现在保存完寄存器等状态之后，他走到了KiFastCallEntry里面！（在Win7 x86下测试）
（2）.在x86Pentium II 处理器上，Windows使用了sysenter指令，内核的系统服务分发器例程的地址保存在与该指令相关联的一个MSR中，eax，edx保存与int2e相同的内容。最后通过sysexit指令返回用户模式;
这里读取MSR的0x176处，其中包含了系统服务分发器地址，发现实际上调用的就是KiFastCallEntry（入口）！（在Win7 x86下测试）
（3）.在x64体系架构上，Windows使用syscall指令，将系统调用号保存在eax中，前四个参数放在寄存器（rcx/rdx/r8/r9）中，剩下的参数在栈中。
64位平台读取MSR的0xC00000082处，里面保存的是64位的syscall，当我们u一下这个地址，发现这个就是x64系统调用分发的入口KiSystemCall64（在Win7 x64下测试）
延伸阅读
学习是年轻人改变自己的最好方式