Wykrywanie wywołań zwrotnych Kernel-Mode

Większość kodu systemu operacyjnego Windows działa w trybie jądra. Tryb procesora przełącza się z trybu użytkownika do trybu jądra za każdym razem, gdy wątek aplikacji wywołuje funkcję z interfejsu API systemu Windows, która z kolei wywołuje funkcję systemu wewnętrznego, która musi być wykonywana w trybie jądra. Tryb procesora powraca do trybu użytkownika, zanim kontrolka powróci do funkcji, aby dane systemowe są chronione.

Jeśli wątek oczekuje na zakończenie wywołania zwrotnego trybu jądra, strona trybu użytkownika wątku zostanie wstrzymana podczas wywołania funkcji ZwCallbackReturn.