对于刚接触 Windows 驱动开发的学习者来说，常见的痛点往往是“能写 Hello World 驱动，但无法理解内核对象模型”或“知道要调用 API，却搞不清系统调用表与进程上下文”。这门《Windows 驱动开发进阶篇》正是针对这一能力断层设计的。它不再满足于简单的设备驱动程序开发，而是深入内核安全机制，聚焦于进程、文件、注册表等核心对象的操作与保护。如果你已经掌握了 WDK 的基础编译流程，能够独立驱动 WDM 模型下的设备，但对 WinDbg 调试内核内存、挂钩系统调用、或者理解不同 Windows 版本（XP 到 Win7）的内核差异感到模糊，那么这门课就是补齐你内核安全视角的关键一步。
课程的核心价值在于“手写代码”与“兼容性实战”。它要求从头编写代码，而非复制模板，这迫使你必须理解每一个 API 背后的系统行为。特别是课程强调了代码在 32 位与 64 位系统下的兼容逻辑，以及利用 VS2013 环境进行开发的历史背景（这有助于理解现代驱动开发的演进路径）。建议学习者首先回顾 Windows 内核对象结构（EPROCESS、_FILE_OBJECT 等结构体的内存布局），再进入课程中关于进程隐藏、注册表保护的章节。不要跳过 WinDbg 的高级用法部分，这是从“被动运行驱动”转向“主动调试内核”的关键工具，能极大提升你排查蓝屏和内存泄漏的能力。
学完这门课，你应该具备独立开发具备安全特性的内核驱动的能力。具体而言，你需要能够回答以下问题：如何在内核态安全地遍历进程列表而不被系统监控发现？如何在 64 位系统下保持驱动与旧版 OS 的兼容性？如何利用 WinDbg 分析未签名的驱动崩溃转储？此外，课程中涉及的“独特隐藏方式”和“酷炫技巧”实际上是内核对抗技术（Kernel Evasion）的前身，理解这些有助于你从防御角度审视内核安全机制，而不是盲目学习攻击手段。在练习方面，建议不要直接运行课程提供的完整工程，而是先根据笔记手动复现其中的钩子函数和内存操作逻辑，并在 WinDbg 中逐步验证变量变化。
资料包中的视频与配套代码是最佳搭档，但请勿只看不练。Windows 内核开发对错误零容忍，一个未释放的内核池内存就可能导致系统不稳定。因此，务必在虚拟机环境中使用 WinDbg 附加到目标系统，实时观察驱动加载、进程创建、文件操作时的内核栈变化。如果基础薄弱，建议先补强 C 语言指针操作与内存管理，因为内核代码直接操作物理内存，任何野指针都是致命的。最终，你应能独立构建一个包含进程监控、注册表保护功能的内核模块，并熟练使用调试工具定位其中的逻辑缺陷。
课程介绍
适合人群： windows内核安全感兴趣的人，有志从事内核安全的技术人员 你将会学到： 深刻理解windows操作系统机制并学习内核安全驱动开发方法，学习windbg的一些高级用法 课程简介： 本课题是驱动开发中的时阶部分,是在前期基础上的深化,可以提高驱动安全安全水平,里面提供了非常新的安全方式，一些是你前所未见的东西，独特的隐藏方式，驱动开发全部以手写代码从0开始。 里面有一些有趣又酷炫的驱动开发技巧。自由畅快的控制操作系统，让其更好的为我们服务。 里面涉及到进程，文件，注册表等等。更重要是代码采用了vs2013集成开发全程演示编写可以兼容xp，windows 7，等并且同时兼容32位,64位的代码。提高了代码的可用性。增强了对各个操作系统的理解。方便认清各个操作系统的差异。同样提供了windbg的一些高级用法。增加了实用性。本课程更加重视实战。
课程目录
内核.png 2023-11-17 09:23 上传 建议先学Windows驱动程序开发（基于多平台）视频课程 课程介绍： 适合人群： windows内核安全感兴趣的人，有志从事内核安全的技术人员 你将会学到： 深刻理解windows操作系统机制并学习内核安全驱动开发方法，学习windbg的一些高级用法 课程简介： 本课题是驱动开发中的时阶部分,是在前期基础上的深化,可以提高驱动安全安全水平,里面提供了非常新的安全方式，一些是你前所未见的东西，独特的隐藏方式，驱动开发全部以手写代码从0开始。 里面有一些有趣又酷炫的驱动开发技巧。自由畅快的控制操作系统，让其更好的为我们服务。 里面涉及到进程，文件，注册表等等。更重要是代码采用了vs2013集成开发全程演示编写可以兼容xp，windows 7，等并且同时兼容32位,64位的代码。提高了代码的可用性。增强了对各个操作系统的理解。方便认清各个操作系统的差异。同样提供了windbg的一些高级用法。增加了实用性。本课程更加重视实战。 课程目录： ├──001驱动开发进阶篇介绍.mp4 1.08G ├──002常用工具介绍.mp4 586.51M ├──003实现驱动实现最早启动.mp4 891.70M ├──004程序安装实现驱动最早启动.mp4 657.71M ├──005将驱动打包到exe安装包里实现.mp4 702.28M ├──006驱动程序重新初始化(共2种).mp4 654.05M ├──007注册关机通知方.mp4 473.59M ├──008方法2注册关机通知.mp4 475.33M ├──009驱动层内存操作修改控制寄存器.mp4 697.85M ├──010windows系统里一块特殊的内存.mp4 409.50M ├──011驱动层文件操作文件复制.mp4 935.54M ├──012驱动层删除文件操作未加密.mp4 202.03M ├──013驱动层文件重命名操作.mp4 411.96M ├──014驱动遍历文件夹.mp4 724.11M ├──015枚举进程操作.mp4 571.64M ├──016暂停进程恢复进程.mp4 603.34M ├──017结束进程.mp4 318.45M ├──018枚举线程.mp4 321.56M ├──019线程的终止操作.mp4 890.00M ├──020驱动卸载时对系统线程的处理.mp4 393.29M ├──021枚举进程模块.mp4 937.74M ├──022枚举驱动1.mp4 823.26M ├──023枚举驱动2.mp4 594.08M ├──024驱动程序的深度隐藏(过ark工具).mp4 788.04M ├──025ssdt与sssdt.mp4 606.15M ├──026在64位下ssdt函数的枚举.mp4 1.34G ├──027返回第二十七课.mp4 580.99M ├──028zai64位下ssdthook.mp4 997.89M ├──029内联钩子的原理.mp4 319.31M ├──030实战64位inlinehookunhook.mp4 1.34G ├──031进程监控与线程监控.mp4 413.77M ├──032进程监控与线程监控2.mp4 535.11M ├──033进程监控与线程监控3.mp4 293.10M ├──034监控模块加载.mp4 510.65M ├──035拦截指定的驱动.mp4 535.03M ├──036注册表回调与注册表保护.mp4 568.52M ├──037注册表超强保护.mp4 459.12M ├──038进程与线程保护.mp4 713.07M ├──039实现进程保护.mp4 820.24M ├──040线程保护.mp4 193.29M ├──041时间变更回调.mp4 504.70M ├──042驱动代码里内联汇编.mp4 383.91M ├──043驱动读写进程.mp4 868.40M ├──044进程隐藏(防蓝屏版).mp4 718.11M ├──045模块加载32位补充拦截指定驱动.mp4 623.91M ├──046驱动锁定浏览器主页.mp4 926.74M └──windows驱动开发进阶篇资料.zip 14.88M
