简介

Windows内核探索器（简称"WKE"）是一款免费但功能强大的内核研究工具。它支持从Windows XP到Windows 11的系统。与WIN64AST和PCHunter相比，WKE无需更新二进制文件即可在最新的Windows上运行。这意味着即使我不更新WKE，或者您没有最新版本的WKE，旧版WKE仍然可以在新的Windows上运行，大部分功能将正常工作。

WKE如何在最新的Windows上工作

如果当前系统不被原生支持，WKE会自动下载所需的符号文件，90%的功能在此步骤后将可用。对于符号文件中不存在的一些必要数据，WKE会尝试从DAT文件中检索（当新Windows发布时，我会上传新的DAT文件到GitHub）。即使WKE无法连接互联网且DAT文件不存在，超过一半的功能仍然可以工作。目前，从Windows XP到Windows 10 RS3提供原生支持。Windows 10从RS4到最新的Windows 11通过解析符号文件和DAT文件得到完全支持。

如何自定义WKE

您可以通过编辑配置文件来自定义WKE。目前，您可以指定驱动程序的设备名称和符号链接名称，以及过滤器的高度。您还可以启用内核模式和用户模式特征随机化，以避免被恶意软件检测到。如果您重命名WKE的EXE文件，必须同步重命名与EXE文件同名的SYS/DAT/INI文件。

关于数字签名和反病毒软件的负面评论

由于我没有自己的数字证书，我不得不使用泄露的数字证书来签署我的驱动程序。使用泄露的数字证书签名文件有一个副作用：许多反病毒软件推断带有泄露数字签名的文件是可疑的，因为许多黑客使用泄露的数字证书来签署恶意软件。我不在意任何反病毒软件的负面评论，规则很简单：如果您不信任一个程序，就不要使用它。

关于WKE可被反作弊解决方案检测

WKE并非设计用于绕过任何反作弊解决方案。如果您想在特定环境中使用WKE，请订购"二进制定制"服务。

关于驱动程序加载失败

如果WKE提示"无法加载驱动程序"，可能有以下原因：

1. HVCI已启用。

2. 反病毒软件阻止驱动程序加载。

解决方案：

1. 禁用HVCI或禁用安全启动。

2. 将WKE的文件添加到反病毒软件的白名单中。

关于无法删除文件或文件夹

从Windows XP到Windows 10的系统默认开启NTFS解析。在某些系统上，NTFS解析失败会导致无法删除文件或文件夹。在这种情况下，您必须在"软件选项"中关闭"NTFS解析"才能删除文件和文件夹。

主要功能

进程管理（模块、线程、句柄、内存、窗口、Windows钩子等）
文件管理（NTFS分区分析、低级磁盘访问等）
注册表管理和HIVE文件操作
内核模式回调、过滤器、定时器、NDIS块和WFP调用函数管理
内核模式钩子扫描（MSR、EAT、IAT、代码补丁、SSDT、SSSDT、IDT、IRP、对象）
用户模式钩子扫描（内核回调表、EAT、IAT、代码补丁）
内存编辑器和符号解析器（看起来像简化版的WINDBG）
隐藏驱动程序、隐藏/保护进程、隐藏/保护/重定向文件或目录、保护注册表和伪造注册表数据
修改驱动程序、进程和进程模块的路径
启用/禁用一些令人讨厌的Windows组件

截图

为了优化在低质量网络环境下的页面加载速度，我只在此页面放置了一张图片。

致谢名单

WIN64AST团队：我参考了该软件的UI设计和许多功能。
PCHunter团队：我参考了该软件的一些功能。
ProcessHacker团队：我研究了该软件的源代码，但并未在我的项目中使用。
唐纳德·约翰·特朗普：我非常希望他能再当四年总统。

联系方式

电子邮件：AxtMueller#gmx.de（将#替换为@）

如果您发现错误、有建设性的建议或想购买付费服务，请告诉我。最好用英语或德语写电子邮件，我只回复我感兴趣的电子邮件。
为了尽可能少地披露个人信息（IP地址、在线时间等），我不使用即时通讯和社交媒体。请在电子邮件中写下您想要的内容。

付费服务：

二进制定制：您将获得一个没有版权信息和数字签名的WKE定制版本，这将防止一些软件基于程序特征检测WKE。添加您的自定义版权信息和使用与公共版本不同的证书签名文件也是可能的。定制版WKE没有VMP，因此可以在启用HVCI的64位Windows上运行。
部分源代码获取：您将获得您感兴趣的特定功能的源代码。
完整源代码获取：您将获得EXE和SYS的完整源代码。
软件制作：根据您的需求编写用户模式程序或内核模式驱动程序。此服务仅适用于已购买上述任何服务的客户。