环境搭建

• - 1.0 环境搭建-Windows驱动内核双机调试环境
• - 1.1 环境搭建-VMware虚拟机调试环境配置
• - 1.2 环境搭建-WinDBG调试器连接设置
• - 1.3 环境搭建-Visual Studio与WDK开发环境配置
• - 1.4 环境搭建-驱动程序代码调试实战

调试拓展

• - 1.5 调试拓展-WinDbg基础架构与调试初探
• - 1.6 调试拓展-命令体系分类与基础操作
• - 1.7 调试拓展-内核内存分析符号化显示
• - 1.8 调试拓展-内核引用追踪数据解引用
• - 1.9 调试拓展-内核内存分析类与内存扫描
• - 2.0 调试拓展-内核符号系统与导出数据模糊搜索匹配
• - 2.1 调试拓展-内核线程操作与CPU状态查询
• - 2.2 调试拓展-内核进程调试与管理及内核对象句柄解析
• - 2.3 调试拓展-内核调用栈结构与栈帧回溯分析
• - 2.4 调试拓展-内核断点设置与管理
• - 2.5 调试拓展-内核导出函数条件断点设置与数据测试
• - 2.6 调试拓展-内核断点调试执行控制指令

驱动框架

• - 2.7 驱动框架-Windows驱动程序与WDK开发环境配置
• - 2.8 驱动框架-驱动框架结构与调试信息捕获输出
• - 2.9 驱动框架-DriverEntry标准函数原型格式
• - 3.0 驱动框架-PDRIVER_OBJECT驱动对象指针成员探测
• - 3.1 驱动框架-PUNICODE_STRING注册表路径字段解析
• - 3.2 驱动框架-返回值NTSTATUS状态码位域结构
• - 3.3 驱动框架-驱动标准初始化流程步骤
• - 3.4 驱动框架-DriverUnload驱动的优雅退出
• - 3.5 驱动框架-驱动卸载函数设置时机与资源清理原则

驱动加载

• - 3.6 驱动加载-Windows服务管理架构与驱动加载机制
• - 3.7 驱动加载-驱动加载流程可视化分析
• - 3.8 驱动加载-sc服务控制命令行管理

驱动服务管理系统

• - 3.9 驱动服务管理系统-驱动服务管理系统基本框架
• - 4.0 驱动服务管理系统-程序统一错误处理接口搭建
• - 4.1 驱动服务管理系统-服务创建数据配置构建
• - 4.2 驱动服务管理系统-SC系列API使用指南
• - 4.3 驱动服务管理系统-服务控制管理器与打开创建服务操作
• - 4.4 驱动服务管理系统-服务启动与状态查询二次校验
• - 4.5 驱动服务管理系统-服务状态控制停止及多重信息比对
• - 4.6 驱动服务管理系统-数据清理与服务卸载
• - 4.7 驱动服务管理系统-驱动服务虚拟机环境测试与信息枚举
• - 4.8 驱动服务管理系统-系统服务遍历及项目测试

设备对象

• - 4.9 设备对象-什么是设备对象及作用
• - 5.0 设备对象-DEVICE_OBJECT成员字段解析
• - 5.1 设备对象-创建与释放设备对象及引用规则
• - 5.2 设备对象-代码实现设备对象动态创建删除与调试
• - 5.3 设备对象-内核与用户态命名对象及符号链接绑定
• - 5.4 设备对象-Dispatch Routines派遣机制流程与IRP功能对应
• - 5.5 设备对象-派遣函数注册于统一模块化编程
• - 5.6 设备对象-应用层关联设备对象及通信原理
• - 5.7 设备对象-DEVICE_CONTROL&IoControlCode
• - 5.8 设备对象-IRP_MJ_DEVICE_CONTROL处理对接流程测试
• - 5.9 设备对象-IOCTL处理函数示例
• - 6.0 设备对象-用户态中转IO管理器派遣内核中数据处理行为
• - 6.1 设备对象-调试分析SystemBuffer及IRP STACK LOCATION

内核内存池

• - 6.2 内核内存池-Kernel Memory Pool基础架构
• - 6.3 内核内存池-内存分配函数详解
• - 6.4 内核内存池-函数执行流程校验及内核结构管理维护
• - 6.5 内核内存池-标准内存下的结构组成及POOL_HEADER
• - 6.6 内核内存池-large pool如何定位解析全局描述信息

内核字符处理

• - 6.7 内核字符处理-内核字符串结构体解析
• - 6.8 内核字符处理-调试分析缓冲区使用规则及长度校验
• - 6.9 内核字符处理-字符串复制拼接与比较函数
• - 7.0 内核字符处理-RtlCopyUnicodeString常规复制与数据截断
• - 7.1 内核字符处理-RtlAppendUnicodeStringToString空间容量测试
• - 7.2 内核字符处理-RtlEqualUnicodeString相等性判断
• - 7.3 内核字符处理-RtlCompareUnicodeString词典序比较
• - 7.4 内核字符处理-字符串编码转换及现代安全API系列
• - 7.5 内核字符处理-RtlAnsiStringToUnicodeString编码转换操作
• - 7.6 内核字符处理-RtlStringCchCopyW安全复制字符串
• - 7.7 内核字符处理-RtlStringCchCatW安全连接字符串
• - 7.8 内核字符处理-RtlStringCchPrintfW格式化字符串及字符长度与缓冲区空间

内核异常机制

• - 7.9 内核异常机制-蓝屏数据基础信息解析分析
• - 8.0 内核异常机制-内核异常与用户态异常的特权级差异及未处理区别
• - 8.1 内核异常机制-调试器响应机制与异常分发路径
• - 8.2 内核异常机制-CPU异常分发机制及异常向量与IDT
• - 8.3 内核异常机制-结构化异常处理语法
• - 8.4 内核异常机制-__finally与__except结构特性
• - 8.5 内核异常机制-异常过滤常量表达式
• - 8.6 内核异常机制-异常信息获取与筛选过滤表达约束
• - 8.7 内核异常机制-异常结构信息与CPU上下文处理
• - 8.8 内核异常机制-用户态内存访问保护和风险
• - 8.9 内核异常机制-ProbeForRead反汇编分析实现机制与使用场景
• - 9.0 内核异常基址-ProbeForWrite可写性探测与页属性检测方式分析

侵入式结构

• - 09.1 侵入式结构-侵入式设计与双向循环链表
• - 09.2 侵入式结构-普通链表与侵入式链表核心区别
• - 09.3 侵入式结构-内核链表操作流程原理可视化
• - 09.4 侵入式结构-链表头初始化与空链表检测
• - 09.5 侵入式结构-链表头部与尾部插入调试分析及节点内存关联
• - 09.6 侵入式结构-数据移除操作与结构关联性影响
• - 09.7 侵入式结构-代码实现设备对象链式存储管理
• - 09.8 侵入式结构-数据节点头部尾部插入及混合插入与指定删除
• - 09.9 侵入式结构-出队操作模拟指向与动态内存布局图解
• - 10.0 侵入式结构-嵌入LIST_ENTRY成员指针反推结构体指针

系统架构特权级别

• 10.1 系统架构特权级别-Windows架构分层模型与层次对比
• 10.2 系统架构特权级别-Ring0和Ring3的区别与联系
• 10.3 系统架构特权级别-处理器特权级别与内存保护

系统调用

• 10.4 系统调用-SystemCall触发方式及SSDT&系统调用号关联
• 10.5 系统调用-sysenter指令及KiFastCallEntry执行流程反汇编分析
• 10.6 系统调用-内核的模块化架构与内核函数前缀功能命名详解
• 10.7 系统调用-内核导出文档化使用规则与注意事项
• 10.8 系统调用-导出未文档化函数静态链接或动态获取调用
• 10.9 系统调用-未导出函数特性与使用规则
• 11.0 系统调用-特征码结构与通配符处理
• 11.1 系统调用-搜索框架初始化与WRK查看未文档化函数使用
• 11.2 系统调用-查询系统内核模块信息
• 11.3 系统调用-模块节区特征提取
• 11.4 系统调用-未导出函数特征码搜索与执行

文件操作

• 11.5 文件操作 - 内核文件操作基本约束规范
• 11.6 文件操作 - 文件数据追加写入
• 11.7 文件操作 - 临时文件与自删除测试
• 11.8 文件操作 - 数据读取之同步 & 异步 & 分块机制
• 11.9 文件操作 - 文件数据同步执行
• 12.0 文件操作 - 文件数据异步等待
• 12.1 文件操作 - 文件数据分块处理
• 12.2 文件操作 - 数据写入之同步 & 异步 & 追加 & 写透
• 12.3 文件操作 - 文件基本信息查询
• 12.4 文件操作 - 不定长结构体属性获取方案

目录操作

• 12.5 目录操作 - 代码初始化测试环境
• 12.6 目录操作 - 目录枚举数据统计及流程
• 12.7 目录操作 - 递归深度分析指定文件树内容
• 12.8 目录操作 - 通配符解析枚举指定后缀文件
• 12.9 SECTION - 节对象关联文件句柄及映射规则
• 13.0 SECTION - 映射内存刷新写回文件数据
• 13.1 SECTION - 可执行模块映射拉伸解析

注册表操作

• 13.2 注册表操作 - 创建新的注册表项
• 13.3 注册表操作 - 打开现有注册表项
• 13.4 注册表操作 - 创建或替换注册表项的值项 & 查询注册表现的值条目
• 13.5 注册表操作 - 创建注册表项的子项
• 13.6 注册表操作 - 枚举注册表项的子项信息
• 13.7 注册表操作 - 枚举打开键的值条目的信息
• 13.8 注册表操作 - 枚举注册表项中值项的完整信息
• 13.9 注册表操作 - 注册表项删除与键值删除

进程基本操作

• 14.0 进程基本操作 - 进程内核结构体浅析
• 14.1 进程基本操作 - 进程内核对象获取及暴力枚举隐藏进程
• 14.2 进程基本操作 - 内核对象引用计数机制测试
• 14.3 进程基本操作 - 内核对象结构体指针与对象句柄互转方式
• 14.4 进程基本操作 - 进程名称与路径获取
• 14.5 进程基本操作 - WRK辅助分析QuerySystemInformation执行流程及使用方法
• 14.6 进程基本操作 - 进程对象关联文件对象信息
• 14.7 进程基本操作 - 文件对象回溯进程完整路径
• 14.8 进程基本操作 - dos与nt路径转换及各方式对比
• 14.9 进程基本操作 - 进程ID与对象转换ID及父进程探测
• 15.0 进程基本操作 - 进程结构体API基本信息收集管理
• 15.1 进程基本操作 - 进程附件切换上下文内存读写
• 15.2 线程基本操作 - 线程内核结构体浅析
• 15.3 线程基本操作 - 线程基本信息获取与API解析规则
• 15.4 线程基本操作 - 内核态线程执行与用户态区别及注意事项
• 15.5 线程基本操作 - 创建内核线程与释放规则
• 15.6 线程基本操作 - 创建内核附加线程与上下文管理
• 15.7 线程基础操作 - 内核线程挂靠内存读取测试
• 15.8 线程基本操作 - 事件通知对象唤醒等待对象
• 15.9 线程基本操作 - 事件同步对象自动复位机制
• 16.0 线程基本操作 - 信号量资源计数控制及并发访问
• 16.1 线程基本操作 - 互斥体数据访问约束
• 16.2 线程基本操作 - 共享资源数据读写锁
• 16.3 线程基本操作 - 独占与共享线程访问资源数据差异
• 16.4 线程基本操作 - 自旋锁的基本使用与IRQL
• 16.5 线程基本操作 - 定时器对象与DPC关联使用
• 16.6 线程基本操作 - 定时器周期性执行
• 16.7 线程基本操作 - 内核APC插入流程代码实现
• 16.8 线程基本操作 - APC插入执行调度测试
• 16.9 IRQL - 内核世界的交通规则及CPU勿扰模式
• 17.0 IRQL - 中断屏蔽与打断机制
• 17.1 IRQL - 保持与恢复规则及调度打断执行方式

对象管理

• 17.2 对象管理 - 管理架构模型及对象实例化可选头对象头对象体组成
• 17.3 对象管理 - 调试查看对象体对象头及通过mask观察可选对象信息数据
• 17.4 对象管理 - 对象类型索引混淆转换定位类型地址
• 17.5 对象管理 - 对象根节点定位数据类型遍历
• 17.6 对象管理 - 代码查询遍历目录对象数据
• 17.7 对象管理 - WRK辅助实现函数测试及句柄攻防
• 17.8 对象管理 - 查询指定目标路径的符号链接
• 17.9 对象管理 - 内核对象基本属性查询
• 18.0 对象管理 - 指定进程中句柄表数据遍历
• 18.1 内存管理单元 - 虚拟内存申请管理
• 18.2 内存管理单元 - 虚拟内存状态信息
• 18.3 内存管理单元 - 内核跨进程内存维护姿势
• 18.4 内存管理单元 - 远程进程内存读写方式