Skip to content
Vol. 1 · Ed. 2026
CyberGlossary
中文
Entry № 585

内核态与用户态

内核态与用户态 是什么?

内核态与用户态现代操作系统强制实施的两种 CPU 特权级别:内核态(管理员级、Ring 0)拥有完整硬件访问权限,用户态(Ring 3)被限制在自己的地址空间并只能执行有限指令。

现代 CPU 通过保护环实现权限分级,x86 定义了 4 个(0-3),主流操作系统仅使用 Ring 0(内核/管理员级)与 Ring 3(用户级)。处于内核态时,处理器可以执行特权指令、写页表、访问 I/O 端口并操控硬件;用户态则被限制在自身虚拟地址空间,只能通过受控的入口请求内核服务——syscall(x86_64 上的 syscall/sysenter、ARM64 上的 svc)或硬件中断。正是这种边界使操作系统具备健壮性:崩溃的浏览器无法触及内核,被控进程需要内核漏洞才能进入 Ring 0。Hypervisor 引入了 Ring -1(VMX root),而 SMM 与 ARM TrustZone 提供更深层的可信状态。理解这条边界是分析 EDR、Rootkit 与 eBPF 的关键。

● 示例

  1. 01

    运行于 Ring 0 的 EDR 驱动可以挂钩 ETW 提供者,而用户态杀软只能进行 API 挂钩和进程检查。

  2. 02

    一种内核态 Rootkit 利用已签名的驱动进入 Ring 0,从而对用户态安全工具隐藏进程。

● 常见问题

内核态与用户态 是什么?

现代操作系统强制实施的两种 CPU 特权级别:内核态(管理员级、Ring 0)拥有完整硬件访问权限,用户态(Ring 3)被限制在自己的地址空间并只能执行有限指令。 它属于网络安全的 身份与访问 分类。

内核态与用户态 是什么意思?

现代操作系统强制实施的两种 CPU 特权级别:内核态(管理员级、Ring 0)拥有完整硬件访问权限,用户态(Ring 3)被限制在自己的地址空间并只能执行有限指令。

内核态与用户态 是如何工作的?

现代 CPU 通过保护环实现权限分级,x86 定义了 4 个(0-3),主流操作系统仅使用 Ring 0(内核/管理员级)与 Ring 3(用户级)。处于内核态时,处理器可以执行特权指令、写页表、访问 I/O 端口并操控硬件;用户态则被限制在自身虚拟地址空间,只能通过受控的入口请求内核服务——syscall(x86_64 上的 syscall/sysenter、ARM64 上的 svc)或硬件中断。正是这种边界使操作系统具备健壮性:崩溃的浏览器无法触及内核,被控进程需要内核漏洞才能进入 Ring 0。Hypervisor 引入了 Ring -1(VMX root),而 SMM 与 ARM TrustZone 提供更深层的可信状态。理解这条边界是分析 EDR、Rootkit 与 eBPF 的关键。

如何防御 内核态与用户态?

针对 内核态与用户态 的防御通常结合技术控制与运营实践,详见上方完整定义。

内核态与用户态 还有哪些其他名称?

常见的别称包括: Ring 0 与 Ring 3, 管理员态与用户态。

● 相关术语