Identifiera Kernel-Mode återanrop

Merparten av koden för Windows-operativsystemet körs i kernelläge. Processorläget växlar från användarläge till kernelläge när en programtråd anropar en funktion från Windows-API:et som i sin tur anropar en intern systemfunktion som måste köras i kernelläge. Processorläget återgår till användarläge innan kontrollen återgår till funktionen så att systemdata skyddas.

Om en tråd väntar på att ett återanrop i kernelläge ska slutföras fördröjs användarlägessidan av tråden vid ett anrop till funktionen ZwCallbackReturn.