极安御信网络安全系列课合集

这套资料的主体是 Windows 平台下的系统编程与逆向安全实战，核心线索集中在三块：Windows 编程基础（窗口、消息、GDI、句柄表、内存管理）、系统编程进阶（进程线程结构、远程线程注入、各类 Hook、反调试、ShellCode 加载）、以及驱动编程的入门延伸（用驱动隐藏进程）。它不是那种"讲概念—画流程图—布置作业"的学院派课程，而是每个知识点都落在一段能跑起来的代码上：透明窗口、双缓冲绘图、文件监控器、网络文件传输、键盘监控、进程拦截，这些名字本身就说明了它的工程取向。如果你正在做 Windows 平台的底层开发、安全工具开发、或者需要读懂别人的注入与 Hook 实现，这套资料的价值在于它给出的是"能编译、能调试、能看到效果"的实现过程，而不是停留在 API 文档的复述。

这门课解决的是什么问题

大部分开发者在写业务代码时对 Windows 的认知停留在"调 API 就行"的层面，一旦遇到需要跨进程操作、需要拦截函数调用、需要判断自己是否运行在调试器或虚拟机里，就会立刻失去抓手。这套资料要解决的就是这个断层：它把进程与线程的内核结构、句柄表的组织方式、内存的分页与提交机制这些平时被 API 封装掉的东西摊开来讲，然后立刻接到具体场景上。比如讲完进程基础与相关结构，紧接着就是远程线程注入；讲完动态链接库基础，下一段就是如何把 DLL 塞进别人的地址空间并让它执行。这种"结构—机制—利用"的三段式组织方式，才是它能支撑起逆向与免杀这类需求的原因。

另一个被解决的问题是"知识碎片化"。Hook 这个方向网上的文章很多，但往往只讲一种做法，看完之后遇到 IAT Hook 失效、Inline Hook 被检测、HotFix Hook 不生效的情况就不知道怎么切换。这里把 VEH Hook、Inline Hook、IAT Hook、HotFix Hook 放在同一条线上对比着讲，加上子类化这种消息层面的拦截方式，你能看到不同 Hook 点对应的稳定性、可检测性和适用范围差异。这种东西只有把几种实现都写一遍才会形成判断力，光看结论记不住。

适合什么基础的人看

最低门槛是能熟练写 C 或 C++，理解指针、函数指针、结构体内存布局、调用约定这几个概念。如果连函数指针回调、结构体对齐、栈帧怎么压栈都不清楚，直接看 Hook 部分会非常吃力，因为 Inline Hook 的本质就是改指令字节、改跳转偏移，这些操作要求你对机器码和调用约定有直觉。另外需要一点 Win32 API 的使用经验，至少自己写过带窗口消息循环的程序，否则消息循环、窗口子类化、句柄表这几块会变成死记硬背。汇编不需要精通，但要能看懂常见的 mov、push、call、jmp 和简单的反汇编片段，调试器要会用，能下断点、看寄存器和内存。

如果你完全没接触过逆向，建议不要从这份资料入门，先从 PE 文件结构和基础汇编补起，否则很多视频里一句话带过的"取模块基址""找导出函数地址"你都不知道在干什么。反过来，如果你已经做过一段时间的 Windows 开发，或者做过外挂、抓包、协议分析这类偏底层的活，这套资料的进度会让你觉得舒服——它默认你有工程能力，不铺垫太多基础语法。

建议先看哪几块

建议的进入顺序是先打系统编程的地基，再从注入切入，最后铺开 Hook。第一段先看进程基础与线程基础这两块，把进程结构、线程结构、句柄表、内存管理串起来，这部分是后面所有内容的前提，句柄表和内存结构看不懂，注入和 Hook 都无从谈起。第二段看动态链接库基础和远程线程注入，这是整个系列里最像"武器"的一环，远程线程注入、注入器、ShellCode 加载这几节连着看，能形成一个完整的"把代码送进目标进程并让它运行"的闭环。第三段再进 Hook 专题，按 VEH Hook、Inline Hook、IAT Hook、HotFix Hook 的顺序走，中间配合子类化和消息循环，理解拦截点的层级差异。

反调试和反虚拟机那几节可以放到后面当专题看，它们涉及环境检测、未公开 API、检测代码是否运行在虚拟机中这些偏技巧的内容，需要有前面的注入和 Hook 基础才能理解为什么这些检测能起作用、又该怎么绕。驱动编程那部分只用来看思路，比如用驱动隐藏进程这件事，它展示的是 Ring0 视角下进程链表怎么组织、怎么摘链，属于拓展视野，不建议一上来就钻内核，容易在环境搭建上耗掉大量时间还没有产出。

学完能独立做什么

把系统编程和注入这两段吃透，你应该能独立写出一个可用的注入器，支持远程线程注入 DLL 和 ShellCode 两种方式，并且理解每种方式在目标进程里发生了什么、什么时候会被拦、失败时怎么排查。再往上，配合 Hook 部分，你能实现一个进程内的函数拦截框架，对指定 API 做 Inline 或 IAT 层面的替换，能写文件监控、键盘监控这类基于拦截的小工具，也能理解常见安全软件检测注入和 Hook 的思路，从而知道自己的实现哪里容易被发现。透明窗口、双缓冲绘图、网络群聊、网络文件传输这几节看似独立，实际上是把你写工具时的界面和通信能力补齐，让你做出来的东西不只是命令行 Demo。

更实际的一点是，这套资料能让你具备阅读别人的底层代码的能力。很多开源的安全工具、注入框架、调试器插件，核心逻辑就是这些进程遍历、模块遍历、内存读写、Hook 安装与卸载的组合。你自己写过一遍之后，再去看这些项目的源码，能直接定位到关键函数，而不是被大量平台细节淹没。这比记住某个 API 的签名有价值得多。

资料怎么配合练习

这套资料是视频形式，最大的风险是"看的时候都懂，关掉就写不出来"。所以每一节都要配一个最小可运行的验证工程：看完进程与线程结构，就自己写一个遍历系统进程、枚举线程、读取进程基本信息的程序；看完远程线程注入，就自己写一个注入器加一个被注入的 DLL，在两台虚拟机或者本机不同进程之间测试；看完某种 Hook，就自己写目标函数、写 Hook 逻辑、写卸载逻辑，用调试器确认指令真的被改了。不要满足于"跟着敲一遍能跑"，要能在不看视频的情况下从零写出来，中间卡住的地方才是真正需要补的。

练习环境上，强烈建议用虚拟机做快照。注入、Hook、反调试、驱动这几块的操作有一定的破坏性，容易把系统搞得不稳定，有快照可以随时回滚，试错成本会低很多。同时准备一个自己的"错题本"，把每次 Hook 失败、注入崩溃的原因记下来——是权限不够、是目标进程有保护、是偏移算错、还是字节对齐问题，这些排查经验才是这套资料真正能沉淀下来的东西。视频本身是线性的，但你的练习应该是跳跃的：哪块卡住就反复做哪块，直到能脱离教程独立复现，再往下走。