[API] Windows API 접두사 관련

Prefix

Prefix	Kernel component
Cm	Configuration manager
Ex	Executive
Hal	Hardware abstraction layer
Io	I/O manager
Ke	Kernel core
Mm	Memory manager
Ob	Object manager
Po	Power manager
Tm	Transaction manager
Se	SRM (Security Reference Monitor)
Nt and Zw	Native system services

  Nt와 Zw의 경우, 커널 모드에서 직접 API를 호출하거나 사용자 모드에서 System Call을 호출하여 해당 API에 접근할 수 있다. 이 때, Previous Mode로 이전에 어디에서 해당 함수를 호출하였는지 체크한다.

 

  체크를 하지 않는 예외가 있긴 한데, 커널 모드에서 Zw 접두사 API를 호출하면 무조건 신뢰한다고 가정하고 별도의 체크를 수행하지 않는다. 반대로 사용자 모드에서는 어떤 API를 호출하였는지와 상관없이 신뢰하지 않는다고 가정하고 체크를 반드시 수행한다.

 

  이와 비슷한 케이스로 접두사에 따라 인자 체크를 수행하는 함수와 하지 않는 함수가 있는데, 이러한 케이스를 잘 확인해봐야 할거 같다.

 

reference

• https://docs.microsoft.com/ko-kr/windows-hardware/drivers/kernel/what-does-the-zw-prefix-mean-
• https://docs.microsoft.com/ko-kr/windows-hardware/drivers/kernel/using-nt-and-zw-versions-of-the-native-system-services-routines