付费购买1988 看雪-反勒索软件开发实战篇（8章全）

看雪这套《反勒索软件开发实战篇》共 8 章，从内容组织看，它不是泛泛讲安全概念，而是围绕“反勒索”这个具体命题，把攻击链拆开、再把防御侧要写的代码一段段落下来。对做终端的、做安全工具的、或者想从后端转安全开发的工程师来说，它更像一份可以对照着敲的工程记录，而不是看完就过的视频合集。

技术栈落在 Windows 内核与用户态之间

反勒索软件的难点不在“识别勒索”这个判断本身，而在于它要在文件被加密之前介入，还要在系统层面拿到足够的权限和可见性。这套课涉及的技术点集中在几个方向：文件系统过滤驱动（minifilter）用于监控文件读写与重命名，进程/线程回调用于在勒索进程刚落地时就拿到通知，注册表与内核对象回调用于捕获持久化动作，再加上用户态的服务、进程间通信和规则引擎。语言层面以 C/C++ 为主，配合 Windows SDK 与 WDK，调试依赖 WinDbg 与内核调试环境。

如果只是想了解勒索软件的原理，读到第二章原理部分就够了；但真正有价值的是后面几章——把“检测到异常”变成“在正确时机阻断”，中间涉及大量工程取舍：回调里能做什么、不能做什么，扫描线程如何避免卡死系统，规则命中后是阻断还是先记录。这些在文档里往往只有一句话，在课程里却需要用代码和调试过程才能讲清楚。

项目结构与可复用模块

课程不是把代码打散成零散片段，而是按一个可运行的反勒索防护组件来组织。大致能拆出这几块可复用的部分：驱动侧的过滤与回调注册框架、用户态的服务与配置管理、规则/特征库的加载与匹配、日志与告警上报、以及驱动与用户态之间的通信通道。这几块在其它安全产品（比如防病毒的文件监控、DLP 的文件外发审计）里几乎是通用的骨架，差别主要在匹配逻辑和策略。

比较适合拿来做二次开发的，是回调框架和通信通道这两块。回调的注册、注销、上下文管理、以及在高 IRQL 下如何把事件安全地投递到用户态，是 Windows 安全开发里反复出现的结构。把这两块吃透，换成别的检测目标，改动量并不大。

按章节推进的自学路径

• 先把勒索软件的攻击流程过一遍：初始执行、权限提升、影子副本删除、批量加密、勒索信落地。理解每一步留下了什么可观测的痕迹，后面写检测才有依据。
• 再进入驱动开发基础：环境搭建、驱动加载与卸载、minifilter 的注册与回调触发条件。这部分建议边看边在虚拟机里跑，内核代码出错就是蓝屏，光看没有体感。
• 然后按模块跟做：文件监控、进程回调、规则匹配、阻断与上报。每个模块跑通后再考虑联调，不要一次性把整条链拼起来再调。
• 最后回到对抗视角：勒索软件常见的绕过手法（延时、白利用、直写磁盘）对应到你的防护代码里，哪些回调会漏、哪些判断会被绕过。这一层是区分“能跑”和“能用”的地方。

适合谁对照实践

如果你已经有 C/C++ 基础，了解 Windows 基本 API，但没写过内核驱动，这套内容可以当作一条有明确目标的驱动入门路径——目标不是写个 Hello World 驱动，而是产出一个能拦文件加密动作的组件。如果你做后端或服务端安全，想往终端安全工具方向走，里面的回调模型、规则引擎和上报通道，思路是相通的，换个平台也能迁移。

需要提醒的是，内核开发对环境和调试要求较高，虚拟机快照、双机调试、符号配置这些准备工作要做足，否则大部分时间会耗在环境问题上而不是代码本身。建议把它当成一份带讲解的工程参考：先跑通，再改动，最后用自己的规则和场景去验证，这样比单纯看一遍视频留下的东西要多。