天道酬勤RootKit循序渐进开发视频(共50课_)

这套资料的主题很明确：在 Linux 内核环境下，从零写一个可加载的内核模块（LKM），并沿着 RootKit 这条技术线，把隐藏、挂钩、通信、反检测等常见机制逐个实现出来。50 课的体量不算小，但它不是按"一节课一个 API"的节奏铺开，而是围绕一个能跑起来的目标持续迭代。对想弄明白内核编程到底怎么回事、又不想只停留在读文档层面的人来说，这种"循序"的结构比零散的技术点更有参考价值。

技术栈与前置要求

整套内容压在 Linux 内核模块这条线上，语言是 C，构建靠内核自带的 kbuild 体系（Makefile + Kconfig），调试侧基本离不开 dmesg、/proc、/sys 和 kallsyms。内核态没有 libc，能用的只有内核导出的符号和自己拼的内存操作，这点决定了代码风格和用户态完全不同。按内容推进的节奏看，比较合适的前置是：能熟练写用户态 C、看得懂 Makefile、对系统调用和进程/文件模型有基本概念、会在虚拟机里折腾内核与 GRUB。如果之前只写过应用层代码，前几课会在编译环境、内核版本匹配、模块签名这些问题上花掉一些时间，这属于正常成本，不是资料本身的门槛。

课程结构与推进方式

整体节奏大致是三层。第一层把环境打通：内核头文件、编译链、模块的加载与卸载、printk 打印、内核与用户态的数据交换，先把"能编、能装、能看见输出"这件事做扎实。第二层进入 RootKit 的典型机制：文件与目录隐藏、进程隐藏、端口隐藏、模块自身隐藏，实现手段通常落在系统调用表挂钩、VFS 层（如 iterate/readdir 路径）拦截、以及内核符号定位这几条路上。第三层是把零散能力拼成一个整体，涉及内核与用户态的通信通道（字符设备、ioctl、netlink 之类）、行为收敛与规避检测的常见思路。

值得留意的是，同一类功能往往会给出不止一种实现路径，比如隐藏文件既可以动系统调用表，也可以在 VFS 层做过滤，两者的稳定性、兼容性、被发现的难易度都不同。对照这些差异去读，比单纯抄一遍代码收获大得多。

可复用的模块与代码骨架

抛开 RootKit 这个外壳，资料里真正能带走的是一批可复用的内核编程骨架：模块入口出口的标准写法、带并发保护的全局数据结构、kmalloc/vmalloc 的使用与释放配对、内核线程的创建与停止、锁的选择（自旋锁与互斥锁的适用边界）、以及一套最小可用的字符设备驱动模板。这些骨架在你之后写任何 LKM 时都能直接改。另外，挂钩与恢复的顺序、清理路径的完整性、出错回滚的处理，是内核模块最容易翻车的地方，资料里对这些环节的处理方式值得单独整理成笔记。

自学路径与实操建议

• 务必在虚拟机或独立测试机上做，内核模块出错是直接 panic，不要拿日常系统冒险。
• 锁定一个内核版本再动手，头文件路径、符号导出情况、内联汇编写法在不同版本间差异明显，边做边换版本会导致大量时间耗在编译错误上。
• 每完成一个功能点，先用 dmesg 和 /proc 验证行为，再进入下一个，不要攒着一起调。
• 把"挂钩点在哪、恢复逻辑是否对称、卸载后系统是否干净"作为每节课的固定检查项。
• 最终自己独立复现一遍完整模块，写成可编译的仓库，附上你遇到的内核版本与踩坑记录，这比看完视频更有说服力。

需要说清楚的是，RootKit 技术本身处在安全与合规的敏感地带，学习它的合理场景是内核机制研究、主机入侵检测与取证、系统安全加固这些方向——知道隐藏是怎么做的，才知道怎么检测和防御。请只在自有环境用于研究与防御目的。

适合谁拿来对照

如果你已经在做 Linux 运维、SRE 或安全相关工作，想从"会用工具"往"看得懂内核行为"走一步，这套资料可以当作一条有明确终点的实践线：它给你一个具体目标，逼着你把编译、调试、内存、并发、内核接口这些零散知识串起来。它不适合完全没写过 C 的人，也不适合指望看完就会写完整产品的人。把它当工程练习册用，边看边敲、边改边验证，才是这套内容最合适的打开方式。