Windows内核-句柄表

这门课到底讲什么

句柄表是 Windows 内核里一个很具体、但很少被单独拿出来讲透的组件。进程打开文件、注册表键、事件、互斥体，甚至其他进程，内核都要发一个句柄作为凭据，这些凭据集中登记在句柄表里。绝大多数应用层开发一辈子不会直接碰它，但只要方向偏到驱动、反作弊对抗、游戏逆向，句柄表就会反复出现——它既是保护机制，也是攻击面。

这门课把 Windows 内核句柄表当作唯一主题，从结构讲到操作接口，再落到几个能验证效果的实际场景。不是泛泛的内核入门，也不是驱动开发大杂烩，范围收得很窄。

学完能独立做什么

课程给出的目标都是可操作、可复现的动作，不是概念清单：

• 用全局句柄表定位并保护指定进程，让外部对它发起的句柄操作失败；
• 对私有句柄做提权和降权，理解同一份句柄在不同权限下行为差异从哪来；
• 挂 Object 回调，在句柄被创建或复制的时机介入，观察和拦截对象访问；
• 定位游戏图标不显示的原因，并解决 DNF、CF、PUBG 这类环境下的图标异常。

最后一项容易被当成凑数，其实它是最好的验证题：图标不显示通常不是资源问题，而是句柄在某个环节被拦或被覆盖。能把这个问题查到底，说明前面几块的结构和回调机制是真的掌握了。

几个必须提前讲清楚的前提

句柄表不在用户态可见范围里，所以这门课有硬门槛，选之前先自查：

• 需要能读懂 C，并能大致看懂反汇编和调用约定；
• 需要接触过 Windows 内核驱动的基本编写流程，知道 DriverEntry、IRP、设备对象是怎么回事；
• 需要会用 WinDbg 做双机内核调试，断点、查看结构体、跟踪调用栈是日常动作。

这三条缺任何一条，课程中段就会卡在「看不懂调试器输出」上，而不是卡在句柄表本身。如果你的目标只是应用层逆向或者安全工具使用，这门课大概率用不上。

资料适合怎么用

内容是围绕句柄表一条主线组织的，建议按顺序推进，不要跳。先建立句柄表的结构认知，再看内核提供的操作接口，然后立刻动手写代码验证全局句柄保护和私有句柄权限调整，最后进入 Object 回调和图标问题排查。

每讲后面的实验要自己敲一遍。句柄表这类东西光看结构图很容易产生「我懂了」的错觉，只有在内核调试器里亲眼看到自己进程的句柄项、亲手改一次权限并观察行为变化，知识才算落地。图标那个案例可以当作阶段检验，做不出来就回头补回调那部分。

另外提醒一句：全局句柄保护和句柄权限调整这类操作，涉及内核层绕过和对抗，动手实验请只在自己搭建的虚拟机环境里做，不要用在别人机器或线上环境中。

值不值得花时间

如果你正在做游戏安全、反作弊对抗，或者已经在写驱动但遇到句柄相关的拦截需求，这门课的主题足够聚焦，能补上你从文档里很难拼出来的那一块。如果你只是对内核好奇、还没到需要处理具体句柄问题的阶段，建议先把驱动基础和调试环境练熟，再回来看它。