解决什么场景与适合谁学

Windows 内核安全的核心痛点在于“可见性”与“控制权”。在应用层，任何拦截和监控都容易受到欺骗或被绕过；只有深入内核，才能触及系统调用的源头。这门课主要解决两个层面的问题：一是底层输入数据的截获与篡改（如键盘记录防护、串口数据安全），二是存储层的数据透明读写与过滤（如虚拟磁盘挂载、文件系统行为监控）。

本课并非零基础入门教程。它明确要求读者具备 Windows 应用层编程经验，并熟悉驱动编程的基础概念。如果你还停留在 C 语言指针阶段，或者对 IRP（I/O 请求包）的分发机制一无所知，直接学习本内容会非常吃力，建议先补齐驱动编程基础。课程所有示例均在 Windows 10 环境下验证，适合希望从应用开发转向底层安全研究、驱动开发，或需要理解恶意软件在内核层驻留原理的从业者。

核心模块与推荐学习路径

课程内容分为两大主线：键盘/串口过滤体系与磁盘/文件系统过滤体系。建议不要按顺序平铺直读，而是根据兴趣模块突破。

若关注输入设备安全，重点研读以下部分：先通过“Windows 键盘工作原理”建立理论认知，接着学习“替换派遣函数”与“内联替换”技术，这是实现钩子（Hook）的核心手段。特别要注意“内核内联”与“回调函数替换”章节，它们涉及如何在不修改原代码逻辑的前提下，劫持系统关键路径，这是当前高级威胁对抗中的常见技术。对于“串口过滤”，可参考第一个建立的 NT 式过滤驱动框架，理解通用模型后举一反三。

若关注存储数据安全，核心在于理解“虚拟磁盘”与“磁盘过滤”机制。需先掌握 FAT32 文件系统基础，再进入“IRP 队列处理”章节，这是确保过滤驱动不破坏系统 I/O 性能的关键。最后通过“虚拟磁盘驱动”实例，学会如何在内存中模拟一个真实磁盘设备，实现数据的透明加解密或隐藏。

学完能做什么与资料使用建议

完成本课程后，你将能够独立编写运行在 Ring0 层的过滤驱动程序。具体能力包括：开发能够拦截并修改键盘输入内容的驱动，用于测试数据泄露风险；构建虚拟磁盘设备，实现对特定文件或卷的透明加密访问；以及建立基础的恶意代码检测原型，通过挂钩内核回调发现异常行为。

在学习过程中，务必将理论代码与实际运行环境结合。由于涉及内核调试，建议在虚拟机中进行实验，并配合 WinDbg 等工具观察 IRP 的流向。不要只看不练，每一个过滤框架的建立都需要亲手编译、签名（测试模式）并加载，才能真正理解驱动加载失败时的调试技巧。本课程提供的资料是学习路径，而非速成捷径，只有亲手写出能跑通的过滤驱动，才算真正入门内核安全。

课程介绍

内核安全.jpg 2024-8-3 23:08 上传 Windows内核安全(第一部) 超清版本 具有Windows应用层编程经验，熟悉windows驱动编程基础的学员．本课程所有例子均在windows10上测试成功 教程简介 windows键盘过滤 windows虚拟磁盘 windows磁盘过滤 windows文件系统过滤框架 课程目录： 1 建立我们自己的NT式过滤驱动框架.mp4 2 串口过滤.mp4 3 windows操作系统键盘工作原理简介.mp4 4 驱动编程基础课程中键盘过滤问题的解决.mp4 5 替换派遣函数.mp4 6 内联替换.mp4 7 内核内联.mp4 8 回调函数替换.mp4 9 虚拟磁盘原理.mp4 10 文件系统FAT32.mp4 11 虚拟磁盘驱动.mp4 12 磁盘过滤驱动一.mp4 13 IRP队列处理.mp4 1

课程目录

内核安全.jpg   2024-8-3 23:08 上传 Windows内核安全(第一部) 超清版本 具有Windows应用层编程经验，熟悉windows驱动编程基础的学员．本课程所有例子均在windows10上测试成功 教程简介 windows键盘过滤 windows虚拟磁盘 windows磁盘过滤 windows文件系统过滤框架 课程目录： 1 建立我们自己的NT式过滤驱动框架.mp4 2 串口过滤.mp4 3 windows操作系统键盘工作原理简介.mp4 4 驱动编程基础课程中键盘过滤问题的解决.mp4 5 替换派遣函数.mp4 6 内联替换.mp4 7 内核内联.mp4 8 回调函数替换.mp4 9 虚拟磁盘原理.mp4 10 文件系统FAT32.mp4 11 虚拟磁盘驱动.mp4 12 磁盘过滤驱动一.mp4 13 IRP队列处理.mp4 14 D盘写屏蔽原理和准备工作.mp4 15 读写过滤函数.mp4 16 文件系统过滤框架原理.mp4 17 文件系统列举.mp4 18 将过滤设备添加文件控制设备上.mp4 19 将过滤对象附加到文件设备对象上.mp4 20 动态插入设备的文件过滤加载.mp4 21 文件目录管理.mp4 课程资料.zip windows内核安全(第二部) 课程简介： 学习文件加密，文件微过滤，NDIS，WFP windows10,64位中的： 文件加密 文件微过滤加密 NDIS协议驱动 NDIS小端口驱动 NDIS中间过滤层驱动 NDIS过滤驱动 WFP过滤平台 课程目录： 1 文件加密的原理和注意事项.mp4 2 让指定进程打开指定文件.mp4 3 文件的读和写.mp4 4 加密文件的标识以及识别.mp4 5 文件加密头的隐藏和文件读写.mp4 6 文件的额外属性和加密.mp4 7 参考书中的编译方法.mp4 8 概述.mp4 9 框架浏览.mp4 10 加密文件的标识.mp4 11 文件加密和解密.mp4 12 和应用层的通信.mp4 13 NDIS概述.mp4 14 NDIS中保存网络数据的内存和网卡参数设置查询.mp4 15 协议驱动准备工作.mp4 16 协议驱动注册和绑定准备.mp4 17 绑定-解绑-注销和卸载.mp4 18 协议驱动所注册的其他函数.mp4 19 协议驱动设备对象相关IRP.mp4 20 读取网络数据.mp4 21 数据的发送和测试.mp4 22 小端口驱动概述.mp4 23 小端口驱动初始化.mp4 24 虚拟小端口驱动的安装.mp4 25 网卡初始化一.mp4 26 网卡初始化二.mp4 27 网卡启动-OID和PNP请求.mp4 28 小端口驱动网卡发送数据.mp4 29 小端口驱动接收网络数据.mp4 30 小端口驱动的暂停和重置.mp4 31 中间层驱动简介.mp4 32 中间层驱动的安装和绑定.mp4 33 虚拟网卡的创建和初始化.mp4 34 数据的接收和发送.mp4 35 拦截数据.mp4 36 网络组件安装概述.mp4 37 安装调用过程.mp4 38 安装调用过程详解.mp4 39 用户配置MUX中间层驱动.mp4 40 过滤驱动.mp4 41 WPF过滤框架概述.mp4 42 用WFP禁用百度网站.mp4 课程资料.zip