进入内核NtCreateFile中，如果需要查看是由用户态进入的还是从内核态进入的，可以使用如下命令
.thread 查看当前线程
kd> .thread
Implicit thread is now 87272880
dt _KTHREAD 87272880 -y Previous 在_KTHREAD 结构中查看PreviousMode 变量的值
kd> dt _KTHREAD 87272880 -y Previous 在
ntdll!_KTHREAD
+0x13a PreviousMode : 1 '' 如果为1说明是从用户态进入此函数的，先前模式为用户态。