WIN64驱动编程基础教程（福利：过WIN7/8/8.1签名强制的LIB、过WIN7“补丁...

揰掵佲

【原创】WIN64驱动编程基础教程（福利：过WIN7/8/8.1签名强制的LIB、过WIN7“补丁守卫”的SRC、吊销的正规数字签名）

标 题: 【原创】WIN64驱动编程基础教程（福利：过WIN7/8/8.1签名强制的LIB、过WIN7“补丁守卫”的SRC、吊销的正规数字签名）
作 者: Delphic
时 间: 2014-05-04,17:51:29
链 接:

游客，如果您要查看本帖隐藏内容请回复

大家好，我是Tesla.Angela。

这份教程本来是拿来出售的，不过由于某些原因导致部分章节出现在了互联网上，于是决定彻底公开了。

详细目录如下：

0.基础的基础
|-学习WIN64驱动开发的硬件准备
|-配置驱动开发环境
------------------------------
1.驱动级HelloWorld
|-配置驱动测试环境
|-编译和加载内核HelloWorld
------------------------------
2.内核编程基础
|-WIN64内核编程的基本规则
|-驱动程序与应用程序通信
|-内核里使用内存  
|-内核里操作字符串  
|-内核里操作文件  
|-内核里操作注册表  
|-内核里操作进线程  
|-驱动里的其它常用代码  
------------------------------
3.内核HOOK与UNHOOK
|-系统调用、WOW64与兼容模式
|-编程实现突破WIN7的PatchGuard
|-系统服务描述表结构详解
|-SSDT HOOK和UNHOOK  
|-SHADOW SSDT HOOK和UNHOOK
|-INLINE HOOK和UNHOOK  
------------------------------
4.无HOOK监控技术
|-无HOOK监控进线程启动和退出
|-无HOOK监控模块加载  
|-无HOOK监控注册表操作  
|-无HOOK监控文件操作  
|-无HOOK监控进线程句柄操作
|-使用对象回调监视文件访问
|-无HOOK监控网络访问
|-无HOOK监视修改时间
------------------------------
5.零散内容
|-驱动里实现内嵌汇编  
|-DKOM隐藏进程+保护进程  
|-枚举和隐藏内核模块  
|-强制结束进程   
|-强制读写进程内存  
|-枚举消息钩子   
|-强制解锁文件   
|-初步探索PE32+格式文件  
------------------------------
6.用户态HOOK与UNHOOK
|-RING3注射DLL到系统进程
|-RING3的INLINE HOOK和UNHOOK
|-RING3的EAT HOOK和IAT HOOK
------------------------------
7.反回调
|-枚举与删除创建进线程回调
|-枚举与删除加载映像回调
|-枚举与删除注册表回调
|-枚举与对抗MiniFilter
|-枚举与删除对象回调

值得一提的是，这份教程的附件里，包含了一个过“数字签名强制”（DSE）的LIB，只要在程序里包含了这个LIB，就能无视DSE直接加载未签名的驱动。当然，这个LIB只支持WIN7、WIN8和WIN8.1，对于未出现的系统，是不可能支持的。原理在此有说明：

游客，如果您要查看本帖隐藏内容请回复

。警告：此LIB仅为方便各位网友学习WIN64驱动编程，禁止用于一切非法用途。如果用于非法用途，作者不为此负任何连带责任。

本教程由于编写仓促，难免有错漏之处，欢迎指出。不过本教程的代码绝对没有故意插入的错误，所有代码都能“即抄即用”。

下载地址：

游客，如果您要查看本帖隐藏内容请回复

（如果您觉得有用，请帮我点个“致谢”）

欢迎访问我的论坛：

游客，如果您要查看本帖隐藏内容请回复

如果对教程的内容有疑惑，请到我的论坛提问。因为本人不愿意与某些人发生任何争执，所以一般不会在看雪回复任何帖子。

欢迎加入我的内核编程群：204267013

欢迎使用我的ARK类工具WIN64AST：

游客，如果您要查看本帖隐藏内容请回复

另外，原来的“WIN64内核编程基础班”已升级为“WINDOWS内核编程VIP讨论组”，欢迎加入，详情请加群后与群主私聊。

感谢以下在公开之前就购买了教程的VIP会员，给了我很大动力去完成整部教程：whitesilt、Mystery Of Panda、FFFFFFFE、我为你疯狂、沧海浮萍、virtual、LD、★丶隨心灬、猪二、Phevos、你的香气...、YES、cyycoish、QQ392XX897、我心永恒、沙洲冷、201724、七巧软件、Flhawker、Rlcupk

2014-05-05补充：
无签名驱动加载工具（方便测试教程里的驱动）
链接：

游客，如果您要查看本帖隐藏内容请回复

注意：使用之前请认真阅读免责声明，在您使用的时候代表您已认同了程序附带的免责声明。

2014-05-12补充：
原版的HOOK (S)SSDT代码有小BUG，会导致HOOK超过4个参数的函数出问题。
链接：

游客，如果您要查看本帖隐藏内容请回复

2014-05-17补充：
【转载】吊销的正式版数字签名（可以替代过DSE的LIB的作用）
链接：

游客，如果您要查看本帖隐藏内容请回复

2014-06-11补充：
破解VISTA、7、8、8.1的PATCHGUARD的工具

游客，如果您要查看本帖隐藏内容请回复

2014-07-12补充：
“目录重新编排”版本

游客，如果您要查看本帖隐藏内容请回复

coolmarke

好猛的料啊

飘散如烟

好猛的料啊

ly_User

64位不错

易学霸

来看看学习一下了

nigeshabi

Mrak