Windows下syscall后如何获取后续反汇编？以NtDelayExecution为例

你现在看到的是NtDelayExecution的用户态存根代码，syscall指令是Windows x64下从用户态切换到内核态的关键指令，VS 2017的默认调试器只支持用户态调试，所以会直接跳过syscall，看不到内核里的真正实现——这和DOS时代的int 21h中断本质类似，都是用户态请求内核服务的入口。

下面是在Windows 10 x64 + VS 2017 Community环境下，获取后续内核态反汇编的最简方法：

方法1：用WinDbg进行内核调试（最直观的调试方式） #

这是能实时追踪内核态执行流程的方法，步骤如下：

• 准备一个Windows 10 x64的虚拟机（比如VMware/VirtualBox），开启内核调试模式：在虚拟机里以管理员身份打开命令提示符，执行bcdedit /debug on，然后重启虚拟机。
• 打开WinDbg（可从微软官网下载Windows SDK里的调试工具），通过「Kernel Debug」连接到虚拟机（虚拟机选「Virtual Machine」选项，选择对应虚拟机即可）。
• 在WinDbg里设置断点：输入命令 bp nt!NtDelayExecution，回车确认。
• 在你的VS项目里运行调用Sleep()的代码，或者直接在虚拟机里运行程序，WinDbg会自动断在NtDelayExecution的内核态实现入口，然后用u命令（比如u nt!NtDelayExecution L10）就能查看反汇编代码，按F10/F11就能单步调试内核态代码。

方法2：直接查看内核源码或反汇编镜像（无需调试） #

如果不想搭建内核调试环境，也可以通过以下方式获取代码：

• 查看微软公开的Windows内核源码：微软在GitHub上开放了部分Windows内核代码（比如ntoskrnl.exe的部分模块），你可以直接搜索NtDelayExecution找到对应的实现；另外Windows Driver Kit（WDK）里也包含了系统调用的定义和部分内核函数框架。
• 用反汇编工具分析ntoskrnl.exe：用IDA Pro、Ghidra这类工具打开系统盘\Windows\System32\ntoskrnl.exe，搜索NtDelayExecution函数，就能看到完整的反汇编代码，还能分析函数的逻辑流程。

相关文献推荐 #

• 《Windows Internals》（第7版及以后）：由Mark Russinovich、David Solomon等Windows内核专家编写，详细讲解了Windows系统调用机制、内核函数的实现逻辑，是理解Windows内核工作原理的权威书籍，里面专门有章节讲延迟执行和定时器相关的内核实现。
• 《Reverse Engineering for Beginners》：一本免费的逆向工程入门书籍，里面有专门的章节讲解Windows x64系统调用的原理和内核调试方法，适合新手快速上手。
• 微软WDK官方文档：里面包含了系统调用的参数定义、内核函数的行为说明，能帮你理解NtDelayExecution的参数和内核处理逻辑。

内容的提问来源于stack exchange，提问作者quantum mining