小白学习内核保护笔记 1

tanzheng

1：左图是内核堆栈，当执行PUSHAD，并没有像应用层覆盖，而是内核让出PUSHAD的空间
2：执行POPAD右图变回左图 除了EIP是变动的，其余一样
3：执行了mov eax,...代码 内核寄存器改变
4：说明 应用层 内核层是共用寄存器（当前1核调试）

5如果需要保留进栈前的值 比如HOOK 之类就用PUSHAD PUSHFD.
6：内核层调用函数   call 返回地址 后面多了  原来的CS，ESP  SS ，还增加了内核寄存器会伸缩功能（保护 （共用的）寄存器结构） 写错地址就蓝屏
其余跟应用层调用一样 理清思路就不怕了！！！！