深入研究windows内部原理系类课程(微软权威技术专家讲解)

这套课到底在讲什么

标题写的是「深入研究 Windows 内部原理」，但需要先把预期摆正：它不是教你装系统、配组策略、写批处理的运维课。它的落点在内核层面——对象管理器、进程与线程调度、内存管理器、I/O 管理器、缓存管理器、安全引用监视器这一整套机制是怎么咬合在一起的。讲课的人是微软体系内的技术专家，这意味着讲法偏向「设计者视角」：为什么 NT 内核要把对象抽象成统一句柄、为什么分页池和非分页池要严格区分、IRP 为什么要分层下发。这类问题在普通教材里通常一笔带过，而在这套课里会被拆开讲透。

把分类放在「软考考证」其实是个错位。它和软考的知识点重合度不高，真正对得上的是三类人：做驱动开发的、做安全研究/逆向的、以及从应用层往系统层钻的资深开发。如果你只是想考个证，这套课的投入产出比很低；如果你受够了「只会调 API 不懂它背后发生了什么」的状态，它才值得花时间。

哪些章节值得精看

按含金量排，我建议把精力集中在这几块：

• 对象与句柄：这是理解整个 Windows 的钥匙。内核对象、对象目录、句柄表、引用计数，搞清楚之后再看后面任何子系统都会顺很多。反复看。
• 进程与线程：重点不是「进程是什么」这种科普，而是 ETHREAD/KTHREAD、纤程、作业对象、线程调度与优先级提升的实际行为。
• 内存管理：虚拟地址空间布局、页表、工作集、页错误处理路径。这块信息密度最高，也最容易看一遍没感觉、看两遍才通。
• I/O 与 IRP：驱动模型的核心，IRP 的分层处理、完成例程、即插即用与电源管理的交互。做驱动的必刷。

相对可以快进的是开篇的概览性内容——听一遍建立框架即可，不必逐帧抠。另外，涉及具体版本行为的段落要留意讲课时间，Windows 10 之后内核有不少调整，老结论未必还成立，这点得自己带着判断听。

资料包怎么拆开用

这套东西的价值不在「一口气看完」，而在当工具书反复回查。我的拆法是三层：

• 第一层，通看一遍建立地图：不求记住细节，只求知道「内存这块归谁管、I/O 那条线怎么走」，心里有张索引表。
• 第二层，配合调试器对照：光看视频记不住。开个 WinDbg，跟着课里的例子看对象、看线程栈、看内存页状态，把抽象名词变成屏幕上能看见的东西。
• 第三层，按主题回查：以后遇到具体问题——比如某个句柄泄漏、某次分页风暴——回来只挑对应那一段重看，而不是从头再来。

配套的章节笔记适合用在第二层和第三层之间：看完一遍自己重写一份，比抄现成的笔记有用得多。别人整理的笔记能帮你定位「哪节讲了什么」，但内化的过程没法省。

一点提醒

这套课的门槛不低，前置知识最好先补齐：C 语言要熟，能看懂结构体指针；对汇编和调用约定有点概念；最好动手写过一两个简单的内核态程序。缺了这些，后半程会听得比较吃力。它不是速成材料，但如果你真的想在 Windows 系统层扎下根，这属于那种「看一遍受益一次、回查一次再受益一次」的东西。收藏可以，但别只收藏。