第01章
驱动开发环境搭建
安装Visual Studio 2022 · 安装WDK · 配置双机调试环境 · 创建第一个KMDF驱动项目
环境KMDF入门
第02章
驱动基本结构
DriverEntry · DriverUnload · IRP处理 · 驱动对象与设备对象
结构IRP对象
第03章
NT式驱动与WDF驱动
NT式驱动框架 · WDF框架对比 · KMDF与UMDF选择
框架WDFNT
第04章
内核内存管理
内存分配与释放 · 分页与非分页内存 · 内存池标签 · 内存泄漏检测
内存池调试
第05章
字符串与数据结构
ANSI与UNICODE字符串 · 链表 · 自旋锁 · 内核安全字符串函数
字符串同步安全
第06章
同步与并发
IRQL级别 · 自旋锁 · 互斥体 · 信号量 · 内核事件对象
并发锁IRQL
第07章
IO请求包(IRP)
IRP结构详解 · MajorFunction分发 · 完成例程 · 取消例程
IRPIO分发
第08章
设备栈与IO路径
设备栈概念 · IO请求下发 · 过滤驱动原理 · 设备栈遍历
设备栈过滤遍历
第09章
PNP与电源管理
即插即用支持 · 设备启动与停止 · 电源状态转换 · 唤醒逻辑
PNP电源状态
第10章
中断处理
中断请求级别 · 注册中断服务例程 · DPC延迟过程调用 · 中断共享
中断DPCISR
第11章
定时器与等待
内核定时器 · 等待对象 · 超时处理 · 高精度定时
定时器等待超时
第12章
注册表操作
打开与创建键 · 读写值 · 枚举子键 · 注册表回调监控
注册表回调监控
第13章
文件操作
内核文件读写 · ZwCreateFile · 文件系统过滤基础
文件Zw过滤
第14章
进程与线程管理
进程与线程结构 · 枚举进程 · 线程注入检测 · 进程回调
进程线程回调
第15章
模块与映像加载
内核模块加载 · PsSetLoadImageNotifyRoutine · DLL注入检测
模块通知DLL
第16章
对象管理
对象管理器 · 句柄操作 · 对象回调 · 保护进程对象
对象句柄保护
第17章
内核钩子技术
SSDT Hook · Inline Hook · IDT Hook · 钩子检测与绕过
HookSSDTInline
第18章
通信机制
DeviceIoControl · 共享内存 · 事件通知 · 用户态与内核态通信
通信IOCTL共享
第19章
网络过滤
TDI过滤 · WFP框架 · 网络数据包拦截 · 防火墙驱动基础
网络WFP过滤
第20章
键盘过滤驱动
键盘设备栈 · 按键过滤 · 按键记录与防护
键盘过滤安全
第21章
文件系统过滤
Minifilter框架 · 文件操作监控 · 文件加密与保护
Minifilter监控加密
第22章
进程保护与隐藏
DKOM技术 · 进程隐藏 · 进程保护 · 反反调试
DKOM隐藏反调试
第23章
驱动签名与部署
测试签名 · WHQL签名 · 安全启动 · 驱动安装与卸载
签名部署WHQL
第24章
蓝屏分析与调试
BugCheck分析 · WinDbg调试命令 · 内核转储分析 · 常见蓝屏原因
调试WinDbg蓝屏
第25章
安全驱动开发
代码审查 · 漏洞防范 · 驱动加固 · 微软SDL规范
安全SDL加固
第26章
VT虚拟化基础
Intel VT-x技术 · VMX根模式 · EPT内存虚拟化 · VT检测
VT-xEPT虚拟化
第27章
VT框架实战
VMExit处理 · 指令拦截 · 内存虚拟化实现 · VT驱动框架
VMExit拦截实战
第28章
反虚拟机检测
检测VMware/VirtualBox · 反检测技术 · 硬件辅助检测
反虚拟检测硬件
第29章
Rootkit技术分析
Rootkit原理 · 内核级隐藏 · Bootkit基础 · 检测与清除
Rootkit隐藏Bootkit
第30章
综合实战项目
开发完整内核监控驱动 · 集成进程/文件/网络/注册表监控
实战监控综合