滴水逆向 - 海哥内核-中级-线上班(完整版)

这门课讲的是 Windows 内核层面的逆向，不是应用层那种拖进调试器看几个 API 调用就完事的活儿。它要处理的是系统调用怎么从用户态切进内核、进程和线程在内核里以什么结构存在、句柄表如何把一个个内核对象和进程关联起来。如果你之前逆向只停留在用户态，遇到驱动、保护机制、或者需要看内核才能解释的行为时会卡住，这门课针对的就是这个断层。

适合什么基础，不适合什么基础

它标的是中级，这个定位是准确的，但门槛比很多人想的要高。你需要先能看懂 x86/x64 汇编，知道寄存器、调用约定、栈帧是怎么回事；用户态调试要熟练，至少能独立跟过一个程序的执行流；对 Windows 的基本概念——虚拟内存、PE 结构、用户态与内核态的分界——不能是空白。如果这些还不具备，直接上这门课大概率是看视频时点头、自己动手时发呆。反过来说，如果你已经能做用户态逆向，想往驱动、内核对象、系统机制方向走，这门课的深度是够的。

建议先看哪几块，怎么配合练习

系统调用和进程线程这两块建议优先。系统调用是理解用户态到内核态切换的入口，把这条路径走通，后面看很多行为才有落脚点。进程线程部分讲的是内核里最核心的两类对象，句柄表、对象管理这些内容都挂在这上面，先建立结构认知，再去看具体机制会顺很多。看的时候不要只跟着视频走，配套的说明资料要先过一遍，把当节涉及的结构和概念列出来，再对照视频里的调试过程去验证。每节结束后，自己找目标动手跟一遍，哪怕只是把一个系统调用的完整路径复现出来，也比连看三节有用。内核调试环境要提前搭好，双机或者虚拟机配置别拖到中途再折腾。

学完能独立做什么

比较现实的预期是：你能读懂内核相关的结构和调用链，遇到需要内核视角才能解释的现象时知道从哪下手；能独立完成一个系统调用路径的分析，能说清进程、线程、句柄在内核里怎么组织和关联；面对驱动或保护类目标时，不再因为「看不到内核」而直接放弃。它不是让你学完就能写驱动或者做完整的内核级对抗，那是另一个阶段的事。这门课解决的是「看懂内核」这一步，把底层原理和调试方法给到你，剩下的深度靠你自己在具体目标上磨。

如果你现在正卡在用户态和内核之间的那道坎上，这门课值得花时间；如果汇编和用户态调试还没打牢，先补基础，别急着上。