周壑逆向全部集合

这套资料的核心不是“教你怎么用某个工具”，而是拿一个具体到不能再具体的对象——KOF97 的街机 ROM——把逆向工程从指令层一路拆到内核态。它适合已经写过 C、能看懂基本汇编、但没完整跟过一个真实逆向项目的人。看视频容易产生“我懂了”的错觉，这套东西的价值在于每一集都对应一段可对照的二进制、一段可复现的调试过程，边看边在调试器里跟，才算真的用上。

技术栈与主题边界

前半部分围绕 M68000 展开。KOF97 的基板用的是 68000 系列 CPU，所以汇编基础、指令输入系统、图像显示、碰撞检测这几块是连成一条线的：输入怎么被读进内存、精灵怎么按调色板和坐标画出来、判定框怎么在帧与帧之间判定命中，都是同一个二进制里的不同层。学这套内容会顺带把大端序、内存映射 I/O、定点数、查表这些底层习惯建立起来。

后半部分转到 x64 内核研究与 Windows 内核实验。这里的技术栈换成 WinDbg、内核调试、驱动加载、系统调用入口、对象与句柄这些概念。和用户态逆向相比，内核视角要求你能看懂分页、中断、SSDT/SSDT 钩子的位置，以及内核对象在内存里的组织方式。两段内容并不割裂——从“一个游戏怎么跑起来”到“一个系统怎么管住进程”，思考方式是一致的。

可复用的几个模块

• 调试驱动的分析流程：先定内存断点、再回溯调用栈、最后落成伪代码，这个顺序在游戏逆向和内核逆向里都成立，可以直接搬到别的目标上。
• 输入系统的状态机拆解：按键缓冲、连招窗口、指令判定，本质是一个带时间窗的序列匹配问题，游戏以外的交互系统也能套。
• 碰撞与连续技的判定结构：判定框的生成、优先级、帧数据表，是典型的“数据驱动逻辑”，读懂了就明白很多格斗游戏为什么能改帧。
• 内核实验的最小驱动模板：加载、通信、卸载三段式，配合调试器观察对象生命周期，是后续做安全或系统研究的起点。

项目结构怎么对照

不要按播放顺序从头看到尾就完事。更工程的做法是：先把 KOF97 的 ROM 和对应版本的模拟器准备好，自己用调试器挂上去，按集数去对内存地址和函数边界。碰到指令输入那一集，就在自己的断点里把按键路径复现一遍；碰到图像显示，就去翻调色板内存和 tile 数据。内核部分同理，准备好虚拟机快照，再跟着实验改驱动、加日志。这样每个知识点都留下一次“我自己验证过”的记录，而不是停留在看懂。

自学路径建议

如果汇编基础薄弱，先补 68000 的寻址模式和指令编码，再进 KOF97 主线；如果目标是内核方向，可以在看完输入与图像之后先跳到 x64 内核研究，等对内存布局有感觉了再回头补碰撞检测那几集。整套资料更适合当作“项目参照”而不是“课程通关”——把它当成一个已经拆好的样本工程，用你自己的调试环境去复现、改参数、看变化。能跑通一遍、能改出一处可观察的效果，比看完所有视频更有意义。