杀毒软件运行在ring0下还是ring3下？

杀毒软件运行在ring0下还是ring3下？

一般来说，杀毒软件属于外部软件，是用户自行安装的应用软件，工作在Ring3层，与工作在Ring0层的操作系统不同。
　　但是，随着反病毒技术的不断加深，目前的杀毒软件虽然仍然工作在Ring3层中，但是已经具备了查杀Ring0层病毒的技术。因此，杀毒软件属于一种工作在Ring3层，但是可以工作在Ring0层中。
　　注意：类似于Windows Defender等操作系统开发时即嵌入在操作系统中的杀毒软件，默认是运行在Ring0层中的。

windows分4层保护结构，最核心的ring0,最外面的是ring3,ring0层的应用程序可以直接和硬件打交道，其他层的就必须通过hal.dll来调用相应的api来和硬件打交道，所以如果想突破限制，搞些破坏就要进入ring0.
Intel的CPU将特权级别分为4个级别：RING0,RING1,RING2,RING3。Windows只使用其中的两个级别RING0和RING3，RING0只给操作系统用，RING3谁都能用。
我看只有在RING3下....
Rootkit类的病毒就是将其自身的进程隐藏，以达到用户无法结束其进程的目的。
杀毒软件则通过检测来发现其进程，如果发现对应的进程含有恶意程序则将向用户报警。