Snow
Windows Kernel Security · Anti-Rootkit · Reverse Engineering
Building SnowSword — a Windows 10/11 x64 Kernel Analysis & Anti-Rootkit Toolkit.
SnowSword 隐藏驱动检测原理与工程实现：从多视角枚举到结果关联
总结 SnowSword 隐藏驱动检测的多视角设计、内核与用户态的数据流及工程实现注意事项，并明确当前实验和跨版本验证的边界。
内存暴力搜索隐藏驱动 —— PE 特征扫描 + 模块列表差集
承接上一篇"隐藏驱动检测"的盲区：如果攻击者既摘链 PsLoadedModuleList、又不注册 \Driver 对象，模块列表和对象目录两个视角全部落空。本文探索第三条路——暴力扫描内核驱动区内存，凡是"带 PE 头却不在模块列表里"的可执行镜像就是疑似纯内存隐藏驱动。记录我从 DRIVER_OBJECT 特征扫描转向 PE 特征扫描的设计取舍、多线程扫描实现，以及可复现的实验方案。
隐藏驱动检测学习记录 —— 枚举 \Driver 与 \FileSystem 的多视角交叉验证
记录 SnowSword 检测隐藏驱动的新视角：除了 SystemModuleInformation 模块列表（源自 PsLoadedModuleList，可被摘链隐藏），再通过枚举对象管理器 \\Driver 与 \\FileSystem 目录获取已注册的驱动对象，两个视角交叉验证找出隐藏驱动，并引出内存暴力搜索 DRIVER_OBJECT 的第九篇伏笔。
SnowSword 进程隐藏检测实现：从用户态枚举到内核对象分析
介绍SnowSword中隐藏进程检测模块的设计思路，从用户态进程枚举API到内核EPROCESS对象分析，通过多种视角交叉验证发现异常进程。
银狐木马虚拟机分析日报
记录银狐木马样本在隔离虚拟机中的分析过程：从启动分支 patch 验证虚拟机检测假设，到定位 ranchserv.jpg 伪装驱动的文件/注册表/内核接口，再结合 CodeIntegrity 日志与 SiPolicy.p7b 时间戳还原代码完整性策略被篡改的证据链，并总结处置与证据保全方法。
SnowWall 检测实测：从实验环境到结果复核
记录 SnowWall 在隔离 Windows 11 实验环境中检测 SnowSword 对 CalculatorApp.exe 的远程注入行为，结合日志和对照截图还原行为链，并讨论证据边界与后续复核方向。
伪装入口与内存中的隐藏 PE：Hideit 样本逆向分析记录
以 CTF Reverse 题目 Hideit 为例，记录“真正入口不在 main”的逆向分析方法：识别 VirtualAlloc/WriteProcessMemory 伪装入口、从运行进程内存中 dump 隐藏 PE、分析自定义 TEA 与 ChaCha20 校验，并总结可复用的“伪装入口”逆向分析流水线（同样适用于真实恶意样本分析）。
PyInstaller 加固样本逆向：从 CArchive 修复到 pyc 反编译
以一次 PyInstaller 加固样本分析为例，记录从 PE 启动器识别、CArchive 魔数修复、自定义 XOR 解密、pyc 恢复与反编译的完整方法链，并总结 PyInstaller 恶意样本分析中的可复用经验。
SnowSword 隐藏驱动检测实测：摘链驱动的识别
记录 SnowSword 对测试隐藏驱动的检测过程，通过内核模块列表和测试窗口观察异常驱动，并与 OpenArk 的枚举结果进行对比。
PspCidTable 进程枚举学习记录 —— 从 API 逆向到内核对象表遍历
学习如何在 Windows 内核中定位并遍历 PspCidTable（进程/线程全局句柄表），作为 SnowSword 第二种进程枚举视角。通过 PsLookupProcessByProcessId 的 call 跳板逆向出 PspCidTable 地址，再按 TableCode 级数逐级遍历三级表，用 ObGetObjectType 过滤进程对象，handle 值即 PID。