系统调用示例

这个答案没有太多的细节,但可能会帮助你找到正确的方向。 内核模式是0环,在那里运行的大多数东西都是驱动程序或操作系统的关键部分。

我注意到微软最近发布的doco没有提到API代码运行在什么环中。您可以通过查看DDK(驱动程序开发工具包)附带的doco或访问osr.com等公司的网站(这些公司提供驱动程序开发方面的文章)来找到一些功能。

或者你可以得到正确的版本 Ntdll.dll 并检查从中导出的所有函数。IIRC有相当多的API函数以字母为前缀 Zw公司 或 新台币 在内核模式下运行。