系统调用与系统本身的实现方式有关，在不同的操作系统上有很大的区别，例如在uxit 和linux及dos系统上以中断的方式来实现，而由于windows系统的保护模式，汇编程序无法任意中断（除非是处于特权状态下的代码），用户代码通过特定的接口（门）来实现系统调用。前者的调用方式为提供函数的编号（linux系统参见syscall.h，Unix系统参见unistd.h），后者需要提供系统函数在内存中的地址（新的技术使windows的系统加载dll不在加载在特定的位置，而是动态加载，且保护机制对不同的用户态权限做出了严格的规定，权限不够的程序无法调用特定的系统参数，发现未规的系统调用系统会无情的启动异常处理机制，将程序终结）。在linux系统中系统调用的编号置于eax，而调用所需的参数置于寄存器（一般为ebx）。unix系统则需要将所需的参数压栈（参数一般位于4个字节的返回地址上方）。大多数的系统函数会将返回值置于eax，但也有例外的情况，最好的办法是在编写shellcode之前查询相关的系统手册。
原文：http://www.cnblogs.com/freak/p/4272191.html