如果你已经能写驱动、能挂 SSDT、能对着 WRK 翻几个来回，但遇到「窗口被保护了怎么绕」「APC 到底在哪个时机插进去」这类问题还是靠试——那这一阶段就是冲着这些缺口来的。火哥的 Windows 内核第五阶段不铺基础，默认你已经过了对象管理、IRP 分发、同步这些关，直接切进几个平时看书容易滑过去、真动手又必须搞明白的模块。
先确认你到底缺哪一块
这一阶段的内容可以按「你卡在哪」来对照，而不是按章节顺序硬啃：
- 做窗口相关的对抗或保护时，只会照抄 ETHOOK 的调用，说不清它拦的是哪条消息路径、为什么换个场景就失效——窗口保护这条线会逼你把消息钩子的注入点和回调时机对上。
- 写代码时被动收到 APC，但说不清普通 APC 和特殊 APC 在 KiDeliverApc 里的区别，也不知道挂靠（KeStackAttachProcess）切换地址空间时 APC 队列会怎么受影响——APC 这一块专门讲这个。
- 调试时被 DPC 和定时器绕晕，分不清 DPC 在 DISPATCH_LEVEL 上能干什么、定时器到期后回调跑在哪个上下文——DPC 与定时器部分把执行时机讲透。
- 保护模式相关的东西一直靠背段选择子和权限位，没真正理解内核态与用户态切换时栈和寄存器的搬运过程。
对得上两条以上，这个阶段值得花时间；一条都对不上，说明前面的阶段还没消化完。
窗口与 APC 这两块为什么放在一起
表面看窗口属于 Win32k 侧，APC 属于执行体侧，但真做内核对抗时两者经常咬在一起：用户态线程要处理消息，内核态要插 APC 打断它，挂靠又改了当前进程的地址空间。ETHOOK 一类的窗口保护之所以容易出问题，往往不是钩子本身写错，而是没考虑消息投递过程中线程可能被 APC 打断、或者当前进程已经不是你以为的那个。这一阶段的顺序安排，是先让你在窗口这条线上看到「钩子挂在哪、拦什么」，再回到 APC 和挂靠去看「谁在什么时候插进来」，两条线交叉着理解。
配套练习该怎么用
这几块内容光看视频没用，必须自己上手做一遍才能暴露问题：
- 窗口保护部分：自己实现一版消息钩子，然后故意在目标进程被挂靠的情况下测试，观察行为差异，记录下失败的具体时机。
- APC 部分：写一个能主动插入普通 APC 的驱动，配合内核调试器在 KiDeliverApc 下断点，看清楚插入、排队、投递三步分别发生在什么条件满足时。
- DPC 与定时器部分：用定时器触发一次 DPC，在 DPC 例程里尝试做一件「不该在 DISPATCH_LEVEL 做的事」，观察系统怎么报错，比背规则记得牢。
每做完一个练习，回到文档把对应的机制描述重读一遍，通常会发现自己之前理解的关键点漏了。
看完你应该能回答这些问题
- ETHOOK 挂钩窗口消息时，钩子函数运行在哪个进程上下文，此时当前线程的 APC 队列状态是什么样的？
- 挂靠到另一个进程后，原来进程里挂起的 APC 会立即投递吗，为什么？
- DPC 例程里为什么不能等待一个可等待对象，如果非要等会触发什么？
- 保护模式下从用户态陷入内核态时，栈切换和权限检查分别在哪一步完成？
这四个问题能用自己的话答清楚，说明这一阶段的核心机制你已经接住了；答不上来的那一条，就是你接下来该回头补的地方。别急着往下走，内核这块欠的账，后面都会以蓝屏的形式还回来。
火哥的Windows内核第五阶段
深入理解Windows内核原理与开发
编辑点评
系统深入，理论与实践结合，适合有一定基础的Windows内核开发者。
⭐ 编辑推荐
本课程深入解析Windows内核高级特性，涵盖窗口、APC、保护模式、DPC与定时器等多个方面，通过实际项目案例，帮助学员掌握内核开发技能。
课程亮点
• 深入解析Windows内核高级特性
• 理论与实践结合
• 实际项目案例教学
课程目录
📁 火哥内核上
📁 📁 12.窗口
12.窗口文档.png [493.5 KB]
4.窗口保护完成_ev.mp4 [1.2 GB]
3.窗口保护HOOKAPI获取_ev.mp4 [1.2 GB]
2.ETWHOOK窗口保护准备前奏_ev.mp4 [1.2 GB]
1.ETWHOOK原理_ev.mp4 [1023.1 MB]
📁 📁 7.APC
7.APC文档.zip [1.8 MB]
5.挂靠_ev.mp4 [2.1 GB]
2.APC插入_ev.mp4 [1.6 GB]
3.内核APC执行过程_ev.mp4 [1.5 GB]
1.APC初始化,R3APC注入2_ev.mp4 [1.3 GB]
1 APC初始化,R3APC注入1_ev.mp4 [55.9 MB]
4.APC用户执行_ev.mp4 [1.6 GB]
📁 📁 2.保护模式
2.保护模式必看.zip [1.8 MB]
6.中断门_ev.mp4 [533.1 MB]
5.调用门_ev.mp4 [588.1 MB]
11.幽灵地址_ev.mp4 [1.2 GB]
8.任务段_ev.mp4 [923.6 MB]
17.TLB_ev.mp4 [331.7 MB]
3.DB_G_ev.mp4 [630.2 MB]
7.陷阱门与劫持int3作业_ev.mp4 [614.2 MB]
4.权限检测_ev.mp4 [622.5 MB]
18.控制寄存器_ev.mp4 [344.7 MB]
15.29912杂项_ev.mp4 [590.8 MB]
9.任务门_ev.mp4 [349.3 MB]
14.29912_ev.mp4 [570.2 MB]
13.页基址_ev.mp4 [918.9 MB]
2.段的初探_ev.mp4 [632.2 MB]
10.101012分页前戏_ev.mp4 [612.0 MB]
12.页属性_ev.mp4 [738.9 MB]
16.缓存_ev.mp4 [422.3 MB]
1.CPU科普_ev.mp4 [567.9 MB]
📁 📁 10.DPC与定时器
10.DPC与定时器文档.zip [1.8 MB]
1.DPC与定时器_ev.mp4 [850.4 MB]
📁 📁 11.同步
11.同步资料.png [493.5 KB]
1.原子指令锁_ev.mp4 [930.2 MB]
4.事件信号处理_ev.mp4 [577.6 MB]
3.KeWaitForSingleObject分析_ev.mp4 [852.4 MB]
2.等待块结构_ev.mp4 [762.2 MB]
5.信号量与互斥体_ev.mp4 [898.8 MB]
6.互斥体_ev.mp4 [904.2 MB]
📁 📁 6.句柄表
6.句柄表资料.zip [1.8 MB]
2.保护进程_绝杀.mp4 [4.4 GB]
3.私有句柄表.mp4 [3.2 GB]
1.全局句柄表.mp4 [5.9 GB]
4.句柄防止降权.mp4 [7.6 GB]
4.句柄防止降权_ev.mp4 [3.0 GB]
📁 📁 5.进程线程
5.进程线程必看.zip [1.8 MB]
3.线程结构01_ev.mp4 [1.7 GB]
6.被动切换_ev.mp4 [779.8 MB]
2.进程_ev.mp4 [2.1 GB]
1.KPCR_进程概念_ev.mp4 [1.2 GB]
5.线程主动切换_ev.mp4 [930.5 MB]
4.线程查找_ev.mp4 [782.3 MB]
📁 📁 8.项目
1.获取模块.mp4 [3.8 GB]
3.win10通讯与R3封装.mp4 [3.4 GB]
5.读内存姿势.mp4 [3.5 GB]
11.远程CALL完成 游戏测试.mp4 [5.1 GB]
14.易语言模块封装.mp4 [4.1 GB]
13.自动化加壳签名.mp4 [2.8 GB]
12.隐藏驱动.mp4 [3.5 GB]
7.写内存.mp4 [2.7 GB]
2.通讯.mp4 [4.4 GB]
4.驱动安装.mp4 [2.9 GB]
09.让ntoskrnl保护我们的进程.mp4 [1.4 GB]
10.远程call.mp4 [2.1 GB]
📁 📁 9.回调
1.进程线程模块回调_ev.mp4 [585.0 MB]
📁 📁 4.系统调用
2.系统调用进内核_ev.mp4 [1.2 GB]
3.系统调用返回R3_ev.mp4 [728.5 MB]
第四章4.SSDThook_ev.mp4 [987.8 MB]
1.系统调用1_ev.mp4 [474.9 MB]
📁 📁 3.驱动开发
3.链表_ev.mp4 [1005.8 MB]
08.驱动内存加载1_ev.mp4 [1.3 GB]
10.云编译_ev 播放不了.txt
1.驱动helloworld_ev.mp4 [652.4 MB]
09.内存加载2_ev.mp4 [2.9 GB]
05.蓝屏分析_ev.mp4 [1.5 GB]
10.云编译_Compress.mp4 [550.4 MB]
06.驱动通信1_ev.mp4 [2.3 GB]
2.驱动基础1_Compress.mp4 [110.1 MB]
07.通信封装_ev.mp4 [1.3 GB]
4.驱动断链_ev.mp4 [1.4 GB]
📁 📁 1.环境配置
1.环境配置_ev.mp4 [895.6 MB]
火哥内核上文档.png [493.5 KB]
📁 火哥内核下
📁 📁 5.调试
5.调试文档.png [493.5 KB]
x5_06.单步与硬件_Compress.mp4 [189.2 MB]
x5_01.调试体系_Compress.mp4 [178.4 MB]
x5_02.假消息发送_Compress.mp4 [279.5 MB]
x5_03.调试等待事件_Compress.mp4 [215.4 MB]
x5_07.内存断点_Compress.mp4 [53.0 MB]
x5_05.INT断点原理_Compress.mp4 [208.5 MB]
x5_04.调试事件返回_Compress.mp4 [166.7 MB]
📁 📁 6.进程伪装
6.进程伪装说明.zip [1.8 MB]
x6_04.伪装完成_Compress.mp4 [346.7 MB]
x6_03.修改PEB64_Compress.mp4 [284.5 MB]
x6_02.伪装文件对象_Compress.mp4 [325.3 MB]
x6_01.伪装进程1_Compress.mp4 [187.5 MB]
📁 📁 8.VT
8.VT说明.png [493.5 KB]
11.事件注入_ev.mp4 [960.4 MB]
08.SSDT_SHADOW失败_ev.mp4 [2.3 GB]
05.VT框架完成_ev.mp4 [814.7 MB]
02.VT检测_ev.mp4 [572.9 MB]
07.VT退出_msr拦截的前戏_ev.mp4 [857.5 MB]
10.异常拦截_ev.mp4 [1.1 GB]
01.VT概述_ev.mp4 [410.0 MB]
03.初始化VMON区_ev.mp4 [495.8 MB]
04.VMX_HOST_GUEST区填充_ev.mp4 [1.7 GB]
09.让我们的VT支持WIN10_ev.mp4 [1.6 GB]
06.Cpuid拦截，框架完成_ev.mp4 [2.5 GB]
📁 📁 3.X64
3.X64资料.zip [1.8 MB]
05.x64分页_ev.mp4 [885.0 MB]
09.系统调用1_ev.mp4 [588.0 MB]
03.X64段简介_ev.mp4 [410.3 MB]
12.进程回调_ev.mp4 [1.3 GB]
06.隐藏可执行内存_ev.mp4 [959.4 MB]
11.内核系统调用_ev.mp4 [850.8 MB]
13.突破WIN10映射物理页_ev.mp4 [604.4 MB]
01.X64入门_ev.mp4 [474.4 MB]
02.x64汇编细节_ev.mp4 [777.7 MB]
07.注入第一天_ev.mp4 [1.1 GB]
10.R3SSDT表_ev.mp4 [582.0 MB]
04.调用门_ev.mp4 [913.8 MB]
08.隐藏注入线程_ev.mp4 [566.4 MB]
📁 📁 4.X64异常
4.X64异常文档.png [493.5 KB]
x4_14.SEH异常修复_Compress.mp4 [241.6 MB]
x4_07.VEHBUG修复讲解_Compress.mp4 [26.1 MB]
x4_11.SEH全局展开_Compress.mp4 [155.7 MB]
x4_12.最后一道防线_Compress.mp4 [151.4 MB]
x4_04.32位异常派发流程_Compress.mp4 [169.6 MB]
x4_06.VEH无痕HOOK_Compress.mp4 [271.1 MB]
x4_13.x64SEH_Compress.mp4 [171.3 MB]
x4_02.模拟异常流程_Compress.mp4 [89.7 MB]
x4_03.异常派发_Compress.mp4 [177.9 MB]
x4_10.SEH局部展开_Compress.mp4 [108.2 MB]
x4_01.CPU异常简介_Compress.mp4 [111.9 MB]
x4_09.SEH编译器扩展_Compress.mp4 [91.3 MB]
x4_08.SEH异常_Compress.mp4 [140.4 MB]
x4_05.VEH逆向分析_Compress.mp4 [202.9 MB]
📁 📁 1.开幕
1.开幕资料.zip [1.8 MB]
1.开讲第一天(座谈大会)_ev.mp4 [651.0 MB]
📁 📁 7.调试自建
3.修复BUG_ETWHOOK调试API.mp4 [4.0 GB]
5.首次断点绕过PEB检测.mp4 [3.4 GB]
2.调试代码修复,未完成.mp4 [2.2 GB]
4.读写函数完成.mp4 [3.9 GB]
1.调试自建的介绍.mp4 [458.9 MB]
📁 📁 2.内存
1.VAD私有内存_ev.mp4 [572.0 MB]
2.映射内存锁页_ev.mp4 [1.2 GB]
4.修改页属性_ev.mp4 [676.9 MB]
3.页帧数据库-6大链表_ev.mp4 [749.2 MB]
火哥内核下资料.zip [1.8 MB]
📁 VT-全
16.VTEPT_HOOK2.mp4 [250.6 MB]
12.EPT概念阐述.mp4 [123.1 MB]
14.EPT处理.mp4 [241.2 MB]
08.SSDT_SHADOW失败_ev.mp4 [2.3 GB]
04.VMX_HOST_GUEST区填充.mp4 [346.8 MB]
02.VT检测_ev.mp4 [572.9 MB]
05.VT框架完成_ev.mp4 [814.7 MB]
18.VT过VMP虚拟化.mp4 [323.4 MB]
13.VTEPT构建页表.mp4 [180.8 MB]
06.Cpuid拦截，框架完成_ev.mp4 [2.5 GB]
03.初始化VMON区.mp4 [118.1 MB]
09.让我们的VT支持WIN10_ev.mp4 [1.6 GB]
07.VT退出_msr拦截的前戏_ev.mp4 [857.5 MB]
15.EPTHOOK.mp4 [320.3 MB]
17.EPT_HOOK03.mp4 [592.3 MB]
01.VT概述.mp4 [104.8 MB]
11.事件注入_ev.mp4 [960.4 MB]
10.异常拦截_ev.mp4 [1.1 GB]适合人群
- Windows内核开发者
- 系统架构师
- 高级软件工程师
学习收获
掌握Windows内核开发技能
深入理解内核原理
提升系统性能优化能力
祝您学习愉快！
学有所成，前程似锦！
