【编程达人】火哥Windows内核课程（上+下)

Windows 内核这门东西，最大的问题是「看得到现象，摸不到结构」。蓝屏代码能搜到解释，WDK 文档能查到 API，但对象管理器怎么组织命名空间、IRP 在多层驱动之间怎么被复制和转发、分页内存与非分页内存的边界在哪里，这些串起来的知识往往只能靠零散博客拼。这套上下两部分的课程，价值在于它把 Windows 内核当成一个可拆解的工程系统来讲，而不是当成一堆 API 清单。

课程覆盖的技术层次

从内容定位看，上半部分偏向内核基础机制：内核对象与对象管理器、句柄表、进程与线程的内核表示（EPROCESS / ETHREAD / KPROCESS）、内存管理器与地址空间布局、分页机制。下半部分转向驱动与运行时交互：驱动对象与设备对象、IRP 的分发与完成例程、I/O 栈的层次结构、同步与中断请求级别（IRQL）、DPC 与 APC 的执行时机。这条线索基本对应「先把内核数据结构看懂，再动手写能跑在内核态的东西」的顺序。

需要注意的是，这类课程通常会绑定一个具体的 Windows 版本（历史上多以 Win7 / Win10 x64 为参照）。内核结构在不同版本间会有字段偏移变化，跟做实验时建议先确认课程使用的版本，再用 WinDbg 配合符号服务器验证，不要直接套用到生产环境的内核上。

资料形态与使用方式

这类课程通常以视频讲解为主，配套的是演示用的驱动工程、调试脚本和笔记。真正决定学习效果的，不是把视频刷完，而是把每个演示工程单独编译一遍、在虚拟机里加载起来、再用 WinDbg 断到对应的内核函数上单步走一遍。建议的准备环境是：VMware 或 Hyper-V 装一台可快照回滚的目标机，宿主机装 WinDbg 并配置双机内核调试，WDK 版本与目标系统对齐。有了这套环境，课程里的每个机制都能变成可观测的实验，而不是停留在描述上。

视频之外的部分——驱动工程的目录组织、inf 文件的写法、签名与测试签名的处理——往往是自学时最容易卡住的地方，也是这套资料里比较值得对照实践的部分。

可以拆出来复用的模块

• 驱动骨架：DriverEntry、设备创建、符号链接、IRP 分发函数的组织方式，是一套可以直接改写成自己工具驱动的基础模板。
• 调试配置：双机内核调试的连接参数、符号路径设置、常用断点与命令（如!process、!drvobj、dt系列）可以整理成自己的调试速查。
• 同步原语对照：自旋锁、互斥体、快速互斥体、事件在内核态下的适用 IRQL 与限制，适合做成一张随时查的表。
• IRP 处理路径：从应用层 DeviceIoControl 到驱动分发例程再到完成例程的完整链路，是排查 I/O 类问题时的通用分析框架。

把这些模块抽出来之后，课程本身就不只是一套视频，而是一份可以持续维护的个人内核笔记库。

学习路径建议

如果 C 语言和 Windows 用户态编程（句柄、内存、线程同步）还不熟，建议先把用户态这套补上，否则内核里的很多概念会失去参照。有余力的话，提前读一遍《Windows 内核设计思想》或《深入解析 Windows 操作系统》的对应章节，再来看视频，理解成本会低不少。

进度上不必追求一次看懂。第一遍建立整体地图，知道进程创建、内存分配、I/O 请求各自经过哪些内核组件；第二遍挑一条链路（比如一次 ReadFile 的完整路径）深挖到寄存器级别；第三遍再动手写自己的小驱动，把课里的机制用一遍。到这一步，课程里那些原本抽象的结构图，才真正变成你能调试、能改、能用来定位问题的东西。