黑客编程那些事(7节课)

这套资料的主题是 Windows 平台下的恶意代码行为模拟与系统级编程，共 7 节，每节围绕一个可独立运行的小程序展开。从已有线索看，第一节处理的是「把自身拷贝到系统目录」——这本身就是一个非常典型的 Windows 文件操作 + 进程路径获取 + 权限判断的综合练习。整套内容并不是讲「如何攻击」，而是借恶意代码的常见行为作为题目，逼着你去写 Win32 API、理解 PE 结构、操作注册表、处理进程与线程。对已经会用 C/C++ 写控制台程序、但没怎么碰过系统编程的开发者来说，这种以行为为线索的练法比按 API 手册逐个背函数要有效得多。

技术栈与知识覆盖

课程落在 Windows 原生开发这一层，主要涉及 Win32 API、C/C++ 运行时、PE 文件格式基础，以及一部分注册表和进程相关的系统调用。以「拷贝自身到系统目录」为例，要写出来至少得解决几个问题：怎么拿到当前进程的完整路径（GetModuleFileName 一类接口）、怎么定位系统目录（GetSystemDirectory 或环境变量）、怎么处理文件拷贝时的权限与已存在文件、拷贝之后如何让副本具备自启动能力（这一步通常会牵出注册表 Run 键或者服务相关的内容）。每一节都像这样从一个具体行为反推到一组 API 的组合使用。

后面的节次大概率会覆盖进程创建与注入、注册表持久化、简单的网络通信、服务与计划任务等方向。即使具体节次有出入，整条线是清晰的：文件系统 → 进程 → 注册表 → 网络 → 持久化。这条线恰好也是 Windows 系统编程里最常被问到、也最容易在真实工程中踩坑的部分。

项目结构与可复用模块

资料包以每节一个压缩包的形式给出，说明每节都是自包含的独立工程，而不是一个大项目拆成七段。这种组织方式对自学的容错率更高：某一节卡住了，不影响你先把其他节跑通。每个工程内部通常是单文件或少量源文件加一个工程文件，编译依赖少，放在本地直接用 Visual Studio 或者 MinGW 就能构建。

真正值得抽出来复用的是几个小模块：路径获取与规范化、文件拷贝与属性设置、注册表读写封装、进程枚举与启动。这些在普通的桌面工具、安装程序、自动化脚本里都会反复出现。你在跟做时可以把它们整理成自己的工具函数，后续写运维小工具或者排查脚本时直接拿来用，而不是每次重新查 API 签名。

和软考考证标签的关系

这门课被归在软考考证分类下，从内容看它更偏向程序设计与系统底层的实操理解，而不是应试背诵。软考里涉及操作系统、程序设计语言、系统安全的部分，往往考的是概念和机制。如果你只背书上的「进程」「文件系统」「注册表」定义，遇到具体场景还是不知道怎么下手。用这 7 个小程序把机制跑一遍，再回头看考点，理解会具体很多。所以它更适合当成考证复习期间的动手补充，而不是替代教材。

自学路径与使用方式

• 先确认环境：Windows + 一个能编译 C/C++ 的 IDE，最好带调试器。系统编程不调试基本学不动。
• 按节推进，但每节至少做三件事：把代码跑通、用调试器单步看关键 API 的返回值、把这一节的 API 组合用自己的话写成注释或笔记。
• 不要只看不写。这类内容看视频很容易产生「我懂了」的错觉，实际动手时路径拼接、权限失败、句柄泄漏这些问题才会暴露出来。
• 每节结束后尝试改一个行为，比如换一个目标目录、加一层错误处理、把硬编码路径改成从命令行参数读取。改动过程比原样复现更能巩固。
• 学完整理成一份自己的代码片段库或技术笔记，重点记录踩过的坑和对应的排查方法。

适合谁，不适合谁

适合已经能写基础 C/C++、想做 Windows 系统层开发或安全方向入门的人，也适合运维/DevOps 想补一补底层机制、以后写自动化工具时更有底气的开发者。不适合完全没有编程基础的人，也不适合只想背考点、不打算动手的人——这套资料的价值几乎全在「写和调」这个过程里。把它当成一组有明确行为目标的编程练习题来用，比当成教程视频来看收获大得多。