如果你写过驱动，却在面对「窗口被保护后怎么接管」「APC 为什么在特定线程里插不进去」「DPC 和定时器到底谁抢谁的 CPU」这类问题时只能靠搜索拼答案，那这套课就是冲这些缺口来的。它不解决「我该不该学内核」，只解决「我已经在写内核代码，但有几块一直没打通」。

先确认你不是它的目标读者

这门课默认你已经能编译驱动、看得懂 WDK 文档、分清 IRQL 的基本层级。如果 PASSTHROUGH 例程还要照着抄，先回去补基础更划算。它的价值在于把几个长期被「会用就行」糊弄过去的内核子系统拆到实现层：窗口与消息在会话空间里怎么被内核侧干预、APC 的插入时机由什么决定、保护模式下的地址翻译与 HOOK 如何配合、DPC 与定时器在中断和线程调度之间怎么排布。

换句话说，它适合的是「能跑但说不清」的状态。你调过 API 拿到过结果，但一旦要改行为、要对抗日志、要判断某个 HOOK 会不会被绕过，就卡住了——这才是缺口的准确描述。

四个真正会被问到的主题

窗口保护与 ETPHOOK 那条线

窗口相关的内容不是讲 Win32 API 怎么调用，而是讲内核视角下窗口对象、消息投递与拦截点在哪。ETWHOOK 的原理到窗口保护准备、再到通过 HOOK API 获取保护能力，这条链条的每一步都在回答一个问题：你想要的效果靠哪一层介入才能既生效又不被轻易还原。学完这段，你应该能判断某个窗口保护方案究竟挂在哪、失效条件是什么。

APC 的插入与投递时机

APC 是最容易被当成「异步回调」误用的机制。这里关注的是它和线程状态、IRQL、等待的关系：为什么有些 APC 必须等目标线程进入可警报状态才执行，为什么内核 APC 和用户 APC 的行为差异会让你的代码在测试机上通过、在客户机上死锁。配套的文档线索说明这部分有需要对照的材料，不是纯听讲就能过。

保护模式与地址空间

这一块是内核开发的底层账本。段选择子、页表、线性地址到物理地址的转换，在写 HOOK、做内存扫描、处理跨进程访问时会反复回来找你。课程把它放在 HOOK 之前，顺序是对的：不先搞清地址怎么翻译，后面所有「为什么这里改不到」都只能靠猜。

DPC 与定时器

这两者常被混为一谈。实际差别在于执行上下文和可延迟性：DPC 在 DISPATCH_LEVEL 上跑，能做什么、不能做什么有硬约束；定时器到期后走哪条路径、精度受什么影响，直接决定你的轮询逻辑会不会把系统拖垮。这段内容的价值是让你在写周期任务前就知道代价在哪。

看完应该能回答的问题

  • 一个窗口保护方案挂在消息路径的哪一环，什么条件下会失效？
  • 同样一段 APC 插入代码，为什么在线程处于不同等待状态时表现不一致？
  • 给定一个虚拟地址，你能说清它经过哪些结构才落到物理页吗？
  • DPC 里调用某个函数为什么会蓝屏，换成工作项是否就安全？
  • 定时器精度不足时，你的替代方案有哪些、各自代价是什么？

能答上这五个，说明你缺的已经不是资料，而是把零散经验接成体系的那一段。

怎么用它

不要按目录顺序一口气刷完。挑一个你手上正卡着的点切入，比如正在处理窗口相关的拦截，就先看窗口那条线，动手把例子改成自己的场景，再回头补保护模式。每个主题都留了可以实地验证的空间，只看不写等于没学。学完一段，拿上面的问题自测一遍，答不出来的地方就是下一轮要重看的位置。

火哥Windows内核技术五期课程

深入解析Windows内核技术

编辑点评

系统全面，理论与实践结合，适合有一定基础的Windows内核开发者。

⭐ 编辑推荐

本课程深入解析Windows内核技术，涵盖窗口、APC、保护模式、DPC与定时器等多个方面，理论与实践相结合，助你成为Windows内核开发高手。

课程亮点

• 系统全面解析Windows内核技术
• 理论与实践相结合
• 适合有一定基础的Windows内核开发者

课程目录

📁 火哥内核上
📁     📁 12.窗口
        12.窗口文档.png  [493.5 KB]
        4.窗口保护完成_ev.mp4  [1.2 GB]
        3.窗口保护HOOKAPI获取_ev.mp4  [1.2 GB]
        2.ETWHOOK窗口保护准备前奏_ev.mp4  [1.2 GB]
        1.ETWHOOK原理_ev.mp4  [1023.1 MB]
📁     📁 7.APC
        7.APC文档.zip  [1.8 MB]
        5.挂靠_ev.mp4  [2.1 GB]
        2.APC插入_ev.mp4  [1.6 GB]
        3.内核APC执行过程_ev.mp4  [1.5 GB]
        1.APC初始化,R3APC注入2_ev.mp4  [1.3 GB]
        1 APC初始化,R3APC注入1_ev.mp4  [55.9 MB]
        4.APC用户执行_ev.mp4  [1.6 GB]
📁     📁 2.保护模式
        2.保护模式必看.zip  [1.8 MB]
        6.中断门_ev.mp4  [533.1 MB]
        5.调用门_ev.mp4  [588.1 MB]
        11.幽灵地址_ev.mp4  [1.2 GB]
        8.任务段_ev.mp4  [923.6 MB]
        17.TLB_ev.mp4  [331.7 MB]
        3.DB_G_ev.mp4  [630.2 MB]
        7.陷阱门与劫持int3作业_ev.mp4  [614.2 MB]
        4.权限检测_ev.mp4  [622.5 MB]
        18.控制寄存器_ev.mp4  [344.7 MB]
        15.29912杂项_ev.mp4  [590.8 MB]
        9.任务门_ev.mp4  [349.3 MB]
        14.29912_ev.mp4  [570.2 MB]
        13.页基址_ev.mp4  [918.9 MB]
        2.段的初探_ev.mp4  [632.2 MB]
        10.101012分页前戏_ev.mp4  [612.0 MB]
        12.页属性_ev.mp4  [738.9 MB]
        16.缓存_ev.mp4  [422.3 MB]
        1.CPU科普_ev.mp4  [567.9 MB]
📁     📁 10.DPC与定时器
        10.DPC与定时器文档.zip  [1.8 MB]
        1.DPC与定时器_ev.mp4  [850.4 MB]
📁     📁 11.同步
        11.同步资料.png  [493.5 KB]
        1.原子指令锁_ev.mp4  [930.2 MB]
        4.事件信号处理_ev.mp4  [577.6 MB]
        3.KeWaitForSingleObject分析_ev.mp4  [852.4 MB]
        2.等待块结构_ev.mp4  [762.2 MB]
        5.信号量与互斥体_ev.mp4  [898.8 MB]
        6.互斥体_ev.mp4  [904.2 MB]
📁     📁 6.句柄表
        6.句柄表资料.zip  [1.8 MB]
        2.保护进程_绝杀.mp4  [4.4 GB]
        3.私有句柄表.mp4  [3.2 GB]
        1.全局句柄表.mp4  [5.9 GB]
        4.句柄防止降权.mp4  [7.6 GB]
        4.句柄防止降权_ev.mp4  [3.0 GB]
📁     📁 5.进程线程
        5.进程线程必看.zip  [1.8 MB]
        3.线程结构01_ev.mp4  [1.7 GB]
        6.被动切换_ev.mp4  [779.8 MB]
        2.进程_ev.mp4  [2.1 GB]
        1.KPCR_进程概念_ev.mp4  [1.2 GB]
        5.线程主动切换_ev.mp4  [930.5 MB]
        4.线程查找_ev.mp4  [782.3 MB]
📁     📁 8.项目
        1.获取模块.mp4  [3.8 GB]
        3.win10通讯与R3封装.mp4  [3.4 GB]
        5.读内存姿势.mp4  [3.5 GB]
        11.远程CALL完成 游戏测试.mp4  [5.1 GB]
        14.易语言模块封装.mp4  [4.1 GB]
        13.自动化加壳签名.mp4  [2.8 GB]
        12.隐藏驱动.mp4  [3.5 GB]
        7.写内存.mp4  [2.7 GB]
        2.通讯.mp4  [4.4 GB]
        4.驱动安装.mp4  [2.9 GB]
        09.让ntoskrnl保护我们的进程.mp4  [1.4 GB]
        10.远程call.mp4  [2.1 GB]
📁     📁 9.回调
        1.进程线程模块回调_ev.mp4  [585.0 MB]
📁     📁 4.系统调用
        2.系统调用进内核_ev.mp4  [1.2 GB]
        3.系统调用返回R3_ev.mp4  [728.5 MB]
        第四章4.SSDThook_ev.mp4  [987.8 MB]
        1.系统调用1_ev.mp4  [474.9 MB]
📁     📁 3.驱动开发
        3.链表_ev.mp4  [1005.8 MB]
        08.驱动内存加载1_ev.mp4  [1.3 GB]
        10.云编译_ev  播放不了.txt
        1.驱动helloworld_ev.mp4  [652.4 MB]
        09.内存加载2_ev.mp4  [2.9 GB]
        05.蓝屏分析_ev.mp4  [1.5 GB]
        10.云编译_Compress.mp4  [550.4 MB]
        06.驱动通信1_ev.mp4  [2.3 GB]
        2.驱动基础1_Compress.mp4  [110.1 MB]
        07.通信封装_ev.mp4  [1.3 GB]
        4.驱动断链_ev.mp4  [1.4 GB]
📁     📁 1.环境配置
        1.环境配置_ev.mp4  [895.6 MB]
    火哥内核上文档.png  [493.5 KB]
📁 火哥内核下
📁     📁 5.调试
        5.调试文档.png  [493.5 KB]
        x5_06.单步与硬件_Compress.mp4  [189.2 MB]
        x5_01.调试体系_Compress.mp4  [178.4 MB]
        x5_02.假消息发送_Compress.mp4  [279.5 MB]
        x5_03.调试等待事件_Compress.mp4  [215.4 MB]
        x5_07.内存断点_Compress.mp4  [53.0 MB]
        x5_05.INT断点原理_Compress.mp4  [208.5 MB]
        x5_04.调试事件返回_Compress.mp4  [166.7 MB]
📁     📁 6.进程伪装
        6.进程伪装说明.zip  [1.8 MB]
        x6_04.伪装完成_Compress.mp4  [346.7 MB]
        x6_03.修改PEB64_Compress.mp4  [284.5 MB]
        x6_02.伪装文件对象_Compress.mp4  [325.3 MB]
        x6_01.伪装进程1_Compress.mp4  [187.5 MB]
📁     📁 8.VT
        8.VT说明.png  [493.5 KB]
        11.事件注入_ev.mp4  [960.4 MB]
        08.SSDT_SHADOW失败_ev.mp4  [2.3 GB]
        05.VT框架完成_ev.mp4  [814.7 MB]
        02.VT检测_ev.mp4  [572.9 MB]
        07.VT退出_msr拦截的前戏_ev.mp4  [857.5 MB]
        10.异常拦截_ev.mp4  [1.1 GB]
        01.VT概述_ev.mp4  [410.0 MB]
        03.初始化VMON区_ev.mp4  [495.8 MB]
        04.VMX_HOST_GUEST区填充_ev.mp4  [1.7 GB]
        09.让我们的VT支持WIN10_ev.mp4  [1.6 GB]
        06.Cpuid拦截，框架完成_ev.mp4  [2.5 GB]
📁     📁 3.X64
        3.X64资料.zip  [1.8 MB]
        05.x64分页_ev.mp4  [885.0 MB]
        09.系统调用1_ev.mp4  [588.0 MB]
        03.X64段简介_ev.mp4  [410.3 MB]
        12.进程回调_ev.mp4  [1.3 GB]
        06.隐藏可执行内存_ev.mp4  [959.4 MB]
        11.内核系统调用_ev.mp4  [850.8 MB]
        13.突破WIN10映射物理页_ev.mp4  [604.4 MB]
        01.X64入门_ev.mp4  [474.4 MB]
        02.x64汇编细节_ev.mp4  [777.7 MB]
        07.注入第一天_ev.mp4  [1.1 GB]
        10.R3SSDT表_ev.mp4  [582.0 MB]
        04.调用门_ev.mp4  [913.8 MB]
        08.隐藏注入线程_ev.mp4  [566.4 MB]
📁     📁 4.X64异常
        4.X64异常文档.png  [493.5 KB]
        x4_14.SEH异常修复_Compress.mp4  [241.6 MB]
        x4_07.VEHBUG修复讲解_Compress.mp4  [26.1 MB]
        x4_11.SEH全局展开_Compress.mp4  [155.7 MB]
        x4_12.最后一道防线_Compress.mp4  [151.4 MB]
        x4_04.32位异常派发流程_Compress.mp4  [169.6 MB]
        x4_06.VEH无痕HOOK_Compress.mp4  [271.1 MB]
        x4_13.x64SEH_Compress.mp4  [171.3 MB]
        x4_02.模拟异常流程_Compress.mp4  [89.7 MB]
        x4_03.异常派发_Compress.mp4  [177.9 MB]
        x4_10.SEH局部展开_Compress.mp4  [108.2 MB]
        x4_01.CPU异常简介_Compress.mp4  [111.9 MB]
        x4_09.SEH编译器扩展_Compress.mp4  [91.3 MB]
        x4_08.SEH异常_Compress.mp4  [140.4 MB]
        x4_05.VEH逆向分析_Compress.mp4  [202.9 MB]
📁     📁 1.开幕
        1.开幕资料.zip  [1.8 MB]
        1.开讲第一天(座谈大会)_ev.mp4  [651.0 MB]
📁     📁 7.调试自建
        3.修复BUG_ETWHOOK调试API.mp4  [4.0 GB]
        5.首次断点绕过PEB检测.mp4  [3.4 GB]
        2.调试代码修复,未完成.mp4  [2.2 GB]
        4.读写函数完成.mp4  [3.9 GB]
        1.调试自建的介绍.mp4  [458.9 MB]
📁     📁 2.内存
        1.VAD私有内存_ev.mp4  [572.0 MB]
        2.映射内存锁页_ev.mp4  [1.2 GB]
        4.修改页属性_ev.mp4  [676.9 MB]
        3.页帧数据库-6大链表_ev.mp4  [749.2 MB]
    火哥内核下资料.zip  [1.8 MB]
📁 VT-全
    16.VTEPT_HOOK2.mp4  [250.6 MB]
    12.EPT概念阐述.mp4  [123.1 MB]
    14.EPT处理.mp4  [241.2 MB]
    08.SSDT_SHADOW失败_ev.mp4  [2.3 GB]
    04.VMX_HOST_GUEST区填充.mp4  [346.8 MB]
    02.VT检测_ev.mp4  [572.9 MB]
    05.VT框架完成_ev.mp4  [814.7 MB]
    18.VT过VMP虚拟化.mp4  [323.4 MB]
    13.VTEPT构建页表.mp4  [180.8 MB]
    06.Cpuid拦截，框架完成_ev.mp4  [2.5 GB]
    03.初始化VMON区.mp4  [118.1 MB]
    09.让我们的VT支持WIN10_ev.mp4  [1.6 GB]
    07.VT退出_msr拦截的前戏_ev.mp4  [857.5 MB]
    15.EPTHOOK.mp4  [320.3 MB]
    17.EPT_HOOK03.mp4  [592.3 MB]
    01.VT概述.mp4  [104.8 MB]
    11.事件注入_ev.mp4  [960.4 MB]
    10.异常拦截_ev.mp4  [1.1 GB]

适合人群

  • Windows内核开发者
  • 系统架构师
  • 高级软件工程师

学习收获

掌握Windows内核基本原理
深入理解内核模块开发
提升系统性能优化能力

祝您学习愉快！

学有所成，前程似锦！