win32程序时如何在64位操作系统上运行的

最新推荐文章于 2025-07-02 14:06:15 发布

原创最新推荐文章于 2025-07-02 14:06:15 发布 · 7k 阅读

3 ·

本内容遵循CC 4.0 BY-SA版权协议

x64驱动专栏收录该内容

3 篇文章

订阅专栏

本文详细介绍了32位程序如何在64位Windows操作系统上运行的过程，从利用代码编译、调试，到通过Kernel32.dll、KernelBase.dll，再到Wow64Cpu.dll的调用门，最终进入内核的流程。通过Wow64SystemServiceEx函数和NtReadVirtualMemory，解析了32位到64位地址转换的关键步骤，并指出存在两张系统服务表。

1，利用下面的代码编译成32位的程序，然后在64位操作系统中放入OD中进行调试。

#include<Windows.h>
#include<stdio.h>
void main()
{
	char a[100] = { 0 };
	char b[100] = { 0 };
	ReadProcessMemory(GetCurrentProcess(), a, b, 5,NULL);

}

2，F7跟进，然后我们就进入到Kernel32.dll中，继续F7跟进，进入到KernelBase.dll中，
在这里插入图片描述

3，再继续跟进call dword ptr fs:[0x000000C0] 进入这是一个调用门，跟进进入到jmp far中，这里之前都是32位的地址，
这个jmp far就进入到64位地址，而且模块是wow64Cpu.dll

4,Wow64SystemServiceEx进入到这个函数，这个函数的作用跟kifastcallEntry有点类似，查找系统服务表应该选择第一张表还是第二张表，根据函数序号，找到函数地址执行。
在这里插入图片描述
5，进入到call r12执行函数中，在wow64模块的一个函数，然后我们进入NtReadVirtyalMemory中，然后进入到ntdll中的
NtReadVirtualMemory函数，经过这个函数我们就真正进入到内核里面了。

总结：
1，32位程序调用系统函数流程：
ReadProcessMemory->Kernel32->KernelBase->wow64cpu->wow.dll->ntdll->内核
2，存在2张服务表，一张在Wow64SystemServiceEx中，一张在系统内核中
3，通过调用们和远跳转进入到从32位寻址编成64位寻址
4，具体分析见Excel