天道酬勤RootKit循序渐进开发视频(共50课_)

软考考证

课程简介

《天道酬勤RootKit循序渐进开发视频(共50课_价值888元)》天道酬勤RootKit循序渐进开发视频(共50课_价值888元)【技能收获】学完可掌握：视频、价值、开发。课程以实战为导向，覆盖从基础概念到完整项目落地的关键步骤，配套章节笔记便于课后复盘与面试前快速回顾。【学习建议】建议按目录顺序学习，先打基础再进入综合实战章节；每完成 2～3 节可结合笔记整理一份学习小结，最终尝试独立复现一套完整 Demo 写入个人作品集。【就业发展】可面向岗位：Linux 运维工程师、SRE、云计算工程师、DevOps 工程师。云原生与自动化运维仍是企业 IT 刚需方向，认证 + 实战项目组合能显著提升

已有 0 人浏览发布 2026-09-16 更新 2026-09-17

这不是一门“看完就会写病毒”的课，而是一门拆内核的课

RootKit 这三个字在安全圈里自带滤镜，很多人第一反应是“隐蔽、持久、对抗查杀”。但真把这类东西当技术来学，核心不在花哨的隐藏手段，而在对 Linux 内核模块加载、系统调用劫持、文件与进程隐藏这些底层机制的掌控。天道酬勤这套 50 课的定位，恰恰是“循序渐进”——它没打算把你直接推去写一个能过杀软的成品，而是拉着你从内核模块怎么编译、怎么挂载开始，一步步摸到 RootKit 的骨架。想靠它走捷径的人会失望，想借它把内核态编程这块硬骨头啃下来的人，会觉得很值。

课纲含金量：值钱的是“自己动手改内核”这条线

市面上讲 RootKit 的资料两极分化：要么是安全会议上几十页 PPT 讲原理，听完热血沸腾但代码一行没跑通；要么是丢给你一堆成品源码，编译都费劲。这套 50 课的中间路线相对稀缺——它给的是可跟着敲的推进节奏。前段必然落在环境搭建和内核模块最小示例上，这是所有内核态开发的入场券；中段进入系统调用表定位与劫持，这是 RootKit 的技术心脏；后段大概率覆盖进程、文件、端口隐藏与模块自身隐匿，把前面几块拼成完整形态。真正有含量的不是“覆盖了多少种隐藏手法”，而是它按依赖顺序把每一步串起来了：你少了劫持那一步，后面的隐藏根本无从谈起。

哪些章节值得精看，哪些可以快进

环境与模块编译部分：建议精看甚至反复看。内核版本差异、编译报错、模块签名限制，这些坑跳过了后面全崩。别嫌它枯燥，这是整门课的地基。
系统调用表相关章节：全课核心，必须逐行理解。劫持的入口、原函数指针怎么保存和还原，是判断你有没有真学懂的试金石。
各类隐藏功能章节：可以用“对比实现”的方式看。进程隐藏和文件隐藏思路相通，看透一个，另一个能自己推。快速过一遍，记下差异点即可。
收尾的综合串联：值得回头重看。单独功能能跑通不等于组合起来不崩，这一段的调试思路比代码本身更值钱。

资料包怎么拆开用

拿到这套东西别急着从第一课顺序刷到底。先做两件事：第一，确认自己的内核版本和课程演示环境是否对得上，对不上就先把环境调平，这一步能省掉后面一半的报错排查时间。第二，把视频当“操作演示”用，把配套章节笔记当“第二遍复习材料”用——第一遍跟着视频跑通，第二遍只看笔记回忆关键函数和结构体，卡住了再回视频定位。这样一轮下来，笔记就成了你自己的速查手册，比单纯存视频有用得多。另外，建议每完成两到三个功能点，就在自己的虚拟机上做一次“清空重来”，确认能独立复现，否则很容易陷入“看着会、动手废”的状态。

适合谁，不适合谁

如果你有 C 语言基础、了解 Linux 基本操作、想深入内核态编程或安全研究，这门课的投入产出比不错——它逼你直面内核模块开发那套东西。但如果你连 shell 都写不利索，或者只是被“RootKit”这个词吸引、想找现成工具用，那这 50 课大概率会让你在环境搭建阶段就放弃。它是一门需要动手、需要调试、需要耐着性子跟内核报错死磕的课，价值也正在这里——真正啃完的人，拿走的不是一份资料，而是一套能自己动手改内核的能力。

天道酬勤RootKit循序渐进开发视频(共50课_价值888元)

课程推荐

视频目录（51 节）

* 0.VM虚拟引擎初探

* 1.定义内核数据类型

* 2.断链隐藏RootKit

* 3.配置RootKit通讯端口

* 4.操纵数据流文件

* 5.读隐藏数据流文件

* 6.RootKit使用流文件

* 7.安装和卸载RootKit

* 8.原子级交换挂钩原理

* 9.原子级交换SSDT函数

* 10.钩子艺术HookSSDT

* 11.内核函数前缀的意义

* 12.内核下文件名比较

* 13.挂钩内核映射函数过滤DLL名称

* 14.增加内核数据类型

* 15.未公开函数的显示调用

* 16.内核态DLL特征码匹配

* 17.通过PE格式获得PE信息

* 18.PE格式牵扯的结构定义

* 19.MDL大缓存分片映射

* 20.释放映射空间

* 21.快速匹配特征码

* 22.PE结构的使用

* 23.导出表匹配函数名

* 24.字符串匹配

* 25.特征码定位挂钩地址

* 26.注入信息初始化

* 27.检测函数字节

* 28.纪录被重写的指令

* 29.构建Detour有效地址

* 30.修正Detour有效地址

* 31.运行时地址修正并挂钩

* 32.遍历IDT表信息

* 33.IDT挂钩模板

* 34.IDT挂钩模板地址修正

* 35.HOOK所有IDT

* 36.IRP钩子的概念

* 37.全局IRPHOOK(上)

* 38.全局IRPHOOK(下)

* 39.HOOK请求报文IRP

* 40.过滤IRP请求

* 41.过滤IRP栈

* 42.隐匿端口

* 43.Sysenter简单Hook

* 44.另一种SysenterHook方法(绕过绝大多数的rootkit检测工具的检测)

* 45.分层驱动键盘嗅探

* 46.IRP分层直通传递

* 47.键盘嗅探回调完成函数

* 48.附加设备到驱动设备栈

* 49.创建系统线程

* 50.直接修改内核对象隐藏进程驱动部分