01
驱动开发环境搭建
WDK与VS配置 · 双机调试 · 符号服务器 · KMDF模板
环境WDK调试
02
内核编程基础
内核数据类型 · NTSTATUS · 字符串 · 内存分配 · 链表
数据类型内存链表
03
IRP与分发函数
IRP结构 · MajorFunction · 派遣函数 · 同步/异步 · 完成例程
IRP派遣IO
04
IO请求处理
缓冲区IO · 直接IO · IOCTL · 用户态/内核态通信
IOIOCTL通信
05
内核同步机制
自旋锁 · 互斥体 · 快速互斥体 · 事件 · 等待/唤醒 · 死锁
同步锁死锁
06
定时器与DPC
定时器对象 · DPC例程 · 高精度定时 · 周期性任务 · 超时
定时器DPC超时
07
注册表操作
打开/创建键 · 读写值 · 枚举子键 · 注册表回调 · 配置管理
注册表回调配置
08
进程与线程管理
EPROCESS · ETHREAD · 进程遍历 · 线程创建/挂起 · 保护
进程线程保护
09
模块与驱动隐藏
内核模块链表 · 驱动对象 · 隐藏/反隐藏技术
隐藏模块反隐藏
10
SSDT与系统服务
SSDT结构 · 系统服务号 · Hook SSDT · Shadow SSDT · Inline Hook
SSDTHook系统服务
11
内核钩子技术
Inline Hook · Detour · 前/后置处理 · 多核安全 · 恢复
HookDetour多核
12
文件系统过滤
MiniFilter框架 · 注册回调 · IRP_MJ_CREATE · 内容过滤 · 目录监控
MiniFilter文件监控
13
网络过滤与防火墙
TDI过滤 · WFP框架 · 数据包拦截 · 连接监控 · 协议识别
网络WFP防火墙
14
键盘与鼠标过滤
PS/2过滤 · USB HID · 按键记录 · 鼠标拦截 · 输入保护
键盘鼠标HID
15
进程保护与反调试
进程隐藏/防杀 · 调试寄存器 · 反调试检测 · VT基础
反调试保护VT
16
内存管理与保护
虚拟地址 · 物理内存映射 · MDL · 内存保护 · 扫描
内存MDL映射
17
内核对象管理
对象类型 · 句柄表 · 引用计数 · 对象回调 · 安全描述符
对象句柄安全
18
异常与错误处理
SEH · 内核异常 · BugCheck · Dump分析 · 错误恢复
异常BugCheckDump
19
多核与并发编程
CPU拓扑 · 处理器亲和性 · 多核同步 · NUMA · DMA/缓存
多核NUMA并发
20
电源管理
电源状态 · IRP_MJ_POWER · 设备电源策略 · 唤醒 · 节能
电源唤醒节能
21
WMI与事件追踪
WMI提供者 · MOF · ETW · 性能计数器 · 日志
WMIETW日志
22
即插即用(PnP)
设备栈 · IRP_MJ_PNP · 资源仲裁 · 启动/停止 · 热插拔
PnP热插拔设备栈
23
PCI/PCIe设备驱动
配置空间 · BAR · MSI/MSI-X · DMA · MMIO
PCIeDMA中断
24
USB设备驱动
USB描述符 · URB · 管道管理 · 批量/中断/同步 · 枚举
USBURB传输
25
显示与GPU驱动
WDDM框架 · 显示模型 · GPU虚拟化 · DirectX · 硬件加速
GPUWDDMDirectX
26
存储与磁盘驱动
存储栈 · SCSI/ATA · 磁盘分区 · 卷管理 · 加密/压缩
存储磁盘卷
27
音频驱动架构
WaveRT · KS滤波器 · 音频端点 · 流处理 · 延迟控制
音频WaveRT延迟
28
虚拟化驱动
Hyper-V · VMBus · 合成设备 · GPU-PV · 嵌套虚拟化
虚拟化Hyper-VVMBus
29
驱动签名与安全
WHQL · 交叉证书 · 内核代码签名 · HVCI · 安全加固
签名WHQLHVCI
30
调试与性能优化
WinDbg高级 · 内核扩展 · 性能分析 · 内存泄漏 · 崩溃转储
调试WinDbg优化