这里不是按时间排的列表，而是按技术主线挑出的阅读清单。每条只说明它解决的具体问题，方便你判断要不要读。
如果你只想看一条线，建议顺序是：隐藏驱动检测原理 → 三条检测视角 → 实测与边界。
Windows 内核 / Anti-Rootkit
SnowSword 隐藏驱动检测原理与工程实现
整条技术线的总纲。讲清三视角（模块列表 / 对象管理器 / 内存 PE 特征）为什么要放在同一条证据链里，内核与用户态如何分工，以及当前实测和跨版本验证的边界在哪里。隐藏驱动检测学习记录 —— 枚举 \Driver 与 \FileSystem
第二个检测视角的起点：为什么SystemModuleInformation不足以作为唯一事实来源，以及对象管理器里\Driver、\FileSystem与\FileSystem\Filters子目录分别对应什么。内存暴力搜索隐藏驱动 —— PE 特征扫描 + 模块列表差集
当摘链和对象目录两个视角都被绕开时的第三条路。记录了从DRIVER_OBJECT特征扫描转向 PE 特征扫描的设计取舍，以及内核态安全读取内存的完整约束（预检、安全拷贝、异常兜底）。PspCidTable 进程枚举学习记录
偏内核逆向方法论的一篇：从PsLookupProcessByProcessId的 call 跳板逆向定位PspCidTable，再按TableCode级数逐级遍历句柄表，并用ObGetObjectType过滤进程对象。SnowSword 进程隐藏检测实现
隐藏进程这一侧的实现：从用户态枚举 API 到内核EPROCESS对象分析，说明多视角交叉验证是怎么落地的。
逆向工程 / 恶意样本分析
银狐木马虚拟机分析日报
一条完整的证据链：先 patch 启动分支验证虚拟机检测假设，再定位ranchserv.jpg伪装驱动的文件 / 注册表 / 内核接口，最后用 CodeIntegrity 日志与SiPolicy.p7b时间戳还原代码完整性策略被篡改的过程。伪装入口与内存中的隐藏 PE：Hideit 样本逆向分析记录
“真正入口不在 main”的完整处理流程：识别VirtualAlloc/WriteProcessMemory构成的伪装入口，从运行进程内存中 dump 隐藏 PE，再处理自定义 TEA 与 ChaCha20 校验。PyInstaller 加固样本逆向：从 CArchive 修复到 pyc 反编译
加固样本的可复用方法链：PE 启动器识别、CArchive 魔数修复、自定义 XOR 解密、pyc 恢复与反编译。
检测思路 / 工具实践
从恶意样本分析到 HIPS 行为检测
从“看懂样本”走到“检测行为”的一步，讨论 HIPS 行为检测思路的落点。SnowWall 检测实测：从实验环境到结果复核
在隔离 Windows 11 环境里检测远程注入行为，结合日志与对照截图还原行为链，并讨论证据边界。
完整时间线看 归档，按技术领域看 分类，SnowSword 相关的全部文章见 标签：SnowSword。