Windows内核-读写驱动

这门课围绕一个具体动作展开：在内核层读写其他进程的内存。它不讲操作系统原理的通识，也不铺垫驱动开发的完整体系，而是把「怎么绕过用户态限制、把数据从目标进程读出来或写进去」这件事拆成几种可落地的实现方式。对做游戏逆向、游戏安全方向的人来说，这类能力往往是从「看别人工具」到「自己写工具」的分界线。

它解决的是哪个具体环节

用户态调用 ReadProcessMemory 时，会遇到权限、保护、跨位数、被检测等问题。课程要处理的正是这些场景下的替代路径：当常规接口走不通，如何在 Ring0 完成同样的读写。学完之后，你应当能独立写出一个可加载的驱动，针对指定进程完成内存读取与写入，并理解每种方式为何能绕开用户态的限制、又各自暴露在什么位置。这不是「学完就能做完整反作弊对抗」的承诺，读写只是这条链路里最基础的一环，但它决定了后面能不能继续往下做。

四种读写方式分别对应什么情况

课程把方法分开讲，而不是只给一个模板，这点对实际使用更有意义，因为不同方式适用的进程状态和稳定性差别很大。

• 附加进程读写：通过进程挂靠进入目标进程上下文再操作。理解起来直观，但在多线程、高并发的目标上容易出问题，适合作为入门时建立「内核里怎么切换上下文」的认知。
• MDL 映射读写：由目标虚拟地址换算出物理地址，再映射出一段新的虚拟地址来操作。这条路径不依赖目标进程当前是否被调度，对某些常驻进程更稳，也是理解内核内存管理最直接的一段实践。
• 内核 APC 读写：借助 APC 在目标线程上下文里执行读写。需要处理线程选择、IRQL 等细节，适合目标进程本身活跃、有可插入线程的情况。
• 读出来之后的复制：从用户态接口过渡到 MmCopyVirtualMemory，让跨进程内存搬运在内核里完成，避免反复手动处理地址映射。

把这四种放在一起学，价值不在于全都用上，而在于遇到一个目标时，你能判断先用哪种、失败后换哪种，而不是只会照抄一份代码。

资料适合什么基础的人

如果你完全没写过驱动、也没配过测试签名和虚拟机调试环境，直接上手会比较吃力——课程的重心在读写实现，不会花大量篇幅讲驱动加载、双机调试这些前置步骤。相对合适的起点是：写过 C/C++，了解虚拟内存、进程与线程的基本概念，最好动手调过一个简单驱动。有逆向基础的人会更快，因为课程里的读写目标通常需要你先定位到进程和地址。

强烈建议在虚拟机里跑，并关闭或隔离宿主机的相关保护。这不是形式化的提醒：内核读写本身就在触碰系统最底层的边界，一次地址算错或 IRQL 处理不当，蓝屏是常态。把这部分当作必要的练习成本，而不是意外。

怎么用这份资料

不建议按顺序从头到尾看一遍就结束。更实际的做法是：先挑「附加进程读写」把驱动加载、进入目标上下文、完成一次读写这条最小链路跑通；再逐个替换实现方式，比较同一目标下四种方法的成功率和稳定性差异。每换一种，自己记录失败时的错误码和场景，这份记录比课程本身更贴近你实际要面对的环境。

如果你只是想搞明白「内核读写到底怎么回事」，这门课给的是可运行的答案；如果你是要把它用进具体项目，读写只是起点，后面还有进程保护、通信、隐藏等一串问题需要继续处理。先确认这一步是不是你当下真正缺的，再决定要不要投入时间。