티스토리 뷰

반응형
[Reversing] Zw함수의 접두사의 의미

참조

ex) 

 

zwopenprocess, zwopenprocesstoken, zwqueryinformationtoken 함수등 함수명 앞에 접두사 Nt 및 Zw로 시작하는 걸 볼 수 있다.

MSDN 검색 결과 Nt의 접두사는 NT의 약자지만, Zw의 접두사는 의미가 없다고 한다. 최근 알게된 사실로는 직접 호출이 불가능하여 간접호출만 되면서 뒤에 접두사가 Nt > Zw 로 바뀌는 것을 알게되었다.

그저 다른 API와 이름으로 인한 잠재적인 충돌을 피하기 위해 사용했다고 하며, 자세한 내용은 해당 링크를 참고하면 될 것 같다.


접두사커널 구성요소루틴 예

Cm

Configuration managerCmRegisterCallbackEx

Ex

ExecutiveExAllocatePool

Hal

Hardware abstraction layerHalGetAdapter

Io

I/O managerIoAllocateIrp

Ke

Kernel coreKeSetEvent

Mm

Memory managerMmUnlockPages

Ob

Object managerObReferenceObject

Po

Power managerPoSetPowerState

Tm

Transaction managerTmCommitTransaction

Nt,Zw

Native system servicesNtCreateFile , ZwCreateFile



반응형
댓글
댓글쓰기 폼
반응형
공지사항
«   2022/08   »
  1 2 3 4 5 6
7 8 9 10 11 12 13
14 15 16 17 18 19 20
21 22 23 24 25 26 27
28 29 30 31      
Total
260,408
Today
15