windows内核安全(第二部)

软考考证

课程简介

《windows内核安全(第二部)》80450db0333580819df8848cb0dc615d_1646967215d267e2aa565956da2e50818e4923.webp (73.72 KB, 下载次数: 101) 下载附件   保存到相册 2024-7-29 17:09 上传【技能收获】学完可掌握：windows、内核、第二部。课程以实战为导向，覆盖从基础概念到完整项目落地的关键步骤，配套章节笔记便于课后复盘与面试前快速回顾。【学习建议】建议按目录顺序学习，先打基础再进入综合实战章节；每完成 2～3 节可结合笔记整理一份学习小结，最终尝试独立复现一套完整 Demo

已有 1 人浏览发布 2026-09-15 更新 2026-09-15

打开第二部之前，最好先确认自己是不是真的需要它。《Windows内核安全》这个系列的第一部通常解决的是"看得懂"的问题——对象管理器、IRP、SSDT 这些概念能串起来，能读懂一段驱动代码在干什么。第二部则明显往"写得出"和"拦得住"的方向走，它的价值不在于又讲了一遍基础，而在于把内核里那些真正容易出事的地方摊开给你看。

课纲的重心在哪里

从章节编排看，第二部的主线是围绕"内核对抗"展开的。前半段还在处理驱动开发的工程细节，比如内存管理里的分页与非分页池选择、同步对象的使用时机，这些内容单看枯燥，但到了后半段做进程保护和回调监控时，判断失误基本都出在这些地方。真正值得花时间的是中后段：SSDT 与 Shadow SSDT 的挂钩与恢复、Inline Hook 的几种实现方式、以及基于回调（如 PsSetCreateProcessNotifyRoutine 一类机制）的监控思路。这几块构成了整部课的技术骨架。

需要提醒的是，挂钩技术本身是有时代痕迹的。课里讲的一些手法在开启 PatchGuard 的现代系统上会直接触发蓝屏，所以看这部分时不要把代码当成可以直接照搬的成品，而要理解它背后的思路——谁在什么时机被拦截、拦截后如何转发、如何避免重入。理解了这层，才能自己判断哪些还能用、哪些只能当历史看。

哪些章节值得精看

进程与线程相关的回调监控部分。这块的实战价值最高，因为进程创建、模块加载这类事件是绝大多数安全软件都要处理的第一道关卡，课里给的判断逻辑比较完整。
内核对象与句柄操作。很多人在用户层用惯了的东西，到了内核里权限和引用计数完全是另一套规则，这一节如果跳过，后面调试时会反复踩坑。
调试与排错环节。内核崩溃不像用户态程序那样给个清晰的调用栈，课里对 WinDbg 双机调试的讲解虽然不算长，但足够让你在蓝屏时知道从哪看起。
文件系统过滤相关的内容可以按需看。如果你做的是进程防护方向，这部分可以先略过，回头再补。

资料包怎么拆开用

配套资料里的笔记适合在看完某一节之后立刻对照，不要在没看视频的情况下直接啃笔记，内核这些东西脱离上下文看就是一堆名词。截图类的内容主要是环境配置和调试界面，建议在动手搭双机调试环境时同步打开，比对着配能省不少时间。

比较实用的用法是：先按章节顺序过一遍，把回调监控和句柄操作这两块单独拎出来做笔记；等整套看完，再回过头把挂钩相关的部分重看一遍，这时候你已经有能力判断哪些代码是教学演示、哪些是可以改造进自己项目的。资料不要一次性全下载完就放着，按章节分批取用，反而更容易记住哪个文件对应哪个知识点。

适合谁、不适合谁

如果你已经写过能加载运行的简单驱动，并且能看懂第一部的代码，第二部会明显提升你对内核行为的预判能力。但如果你还没搞清楚 IRP 的分层处理是怎么回事，建议先回去补第一部，否则中后段会变成纯抄代码。

另外，这门课偏原理和对抗思路，不是教你怎么去写一个商业级安全产品。把它当成理解 Windows 内核安全机制的一块垫脚石，比指望学完就能做出成品更现实。

80450db0333580819df8848cb0dc615d_1646967215d267e2aa565956da2e50818e4923.webp 下载附件   保存到相册 2024-7-29 17:09 上传

课程推荐

《windows内核安全(第二部)》80450db0333580819df8848cb0dc615d_1646967215d267e2aa565956da2e50818e4923.webp 下载附件   保存到相册 2024-7-29 17:09 上传【技能收获】学完可掌握：windows、内核、第二部。课程以实战为导向，覆盖从基础概念到完整项目落地的关键步骤，配套章节笔记便于课后复盘与面试前快速回顾。【学习建议】建议按目录顺序学习，先打基础再进入综合实战章节；每完成 2～3 节可结合笔记整理一份学习小结，最终尝试独立复现一套完整 Demo 写入个人作品集。【就业发展】可面向岗位：Linux 运维工程师、SRE、云计算工程师、DevOps 工程师。云原生与自动化运维仍是企业 IT 刚需方向，认证 + 实战项目组合能显著提升面试通过率，适合向中高级运维或架构岗进阶。若你已有一定编程或运维基础，本课程可帮助你在现有技能栈上快速叠加热门方向能力，提升求职时的项目说服力与薪资谈判空间。

视频目录（42 节）

* 1 文件加密的原理和注意事项.mp4

* 2 让指定进程打开指定文件.mp4

* 3 文件的读和写.mp4

* 4 加密文件的标识以及识别.mp4

* 5 文件加密头的隐藏和文件读写.mp4

* 6 文件的额外属性和加密.mp4

* 7 参考书中的编译方法.mp4

* 8 概述.mp4

* 9 框架浏览.mp4

* 10 加密文件的标识.mp4

* 11 文件加密和解密.mp4

* 12 和应用层的通信.mp4

* 13  NDIS概述.mp4

* 14 NDIS中保存网络数据的内存和网卡参数设置查询.mp4

* 15 协议驱动准备工作.mp4

* 16  协议驱动注册和绑定准备.mp4

* 17  绑定-解绑-注销和卸载.mp4

* 18  协议驱动所注册的其他函数.mp4

* 19  协议驱动设备对象相关IRP.mp4

* 20  读取网络数据.mp4

* 21  数据的发送和测试.mp4

* 22  小端口驱动概述.mp4

* 23  小端口驱动初始化.mp4

* 24  虚拟小端口驱动的安装.mp4

* 25  网卡初始化一.mp4

* 26  网卡初始化二.mp4

* 27  网卡启动-OID和PNP请求.mp4

* 28  小端口驱动网卡发送数据.mp4

* 29  小端口驱动接收网络数据.mp4

* 30  小端口驱动的暂停和重置.mp4

* 31  中间层驱动简介.mp4

* 32  中间层驱动的安装和绑定.mp4

* 33  虚拟网卡的创建和初始化.mp4

* 34  数据的接收和发送.mp4

* 35  拦截数据.mp4

* 36  网络组件安装概述.mp4

* 37  安装调用过程.mp4

* 38  安装调用过程详解.mp4

* 39  用户配置MUX中间层驱动.mp4

* 40  过滤驱动.mp4

* 41  WPF过滤框架概述.mp4

* 42  用WFP禁用百度网站.mp4