Windows 安全工具生态长期存在两个结构性缺口：不开源与过时。
商业级安全产品（EDR、杀软、主机审计）全部闭源黑盒，内核行为、检测逻辑、数据采集方式均不可审计，安全研究者无法验证其可靠性，也难以在其基础上做二次开发。而传统 ARK（Anti-Rootkit）工具早已集体停更：IceSword、XueTr、PCHunter 等经典工具停留在 Win7/Win10 早期时代，面对内核加固、VBS、WDAC 等新机制力不从心；XueTr 等作者的源码则从未公开。2025 年 OpenArk 被 GitHub 封禁，进一步证明依赖单一闭源渠道的脆弱性——主流开源 ARK 生态自此近乎空白。
与此同时，勒索软件、Rootkit、驱动对抗（BYOVD）等威胁持续升级，应急响应与恶意样本分析对现代、可用的内核级检视工具需求旺盛。KswordARK 正是为填补这一空白而生的开源方案：GPL-3.0 全量开放源码，持续跟踪新版本 Windows 内核变化，让每个安全从业者都能免费获得、审计并改造一款属于自己的现代 ARK。
KSword — Windows ARK、内核调试与系统取证工具集。将用户态与内核态信息集中在统一工作流中，用于进程、内存、网络、文件、驱动、内核对象和系统安全审计。
核心功能
•
进程与对象 Cross-view：对照 R3/R0 进程、线程、CID 与句柄视图，检查隐藏对象、结构差异、线程栈与进程详细信息
•
内存与页表：浏览内存区域、搜索与 Hex 查看，支持内核可执行内存扫描、证据采集与 PTE/VA 翻译
•
驱动与内核对象：检查 DriverObject、DeviceObject、SSDT、Hook、回调、模块 Cross-view、Unloaded 与 PiDDB 信息
•
网络审计：抓包、连接管理、限速、请求构造、WFP 防火墙事件、NIDS 与多层网络视图
•
文件与系统取证：文件恢复、签名与 PE 分析、文件占用、存储栈、注册表、启动项、服务与设备树
•
安全策略诊断：AppLocker、WDAC、Code Integrity、Defender、ASR、VBS、Hyper-V 与事件日志状态
•
行为监控：ETW、WinAPI、WMI 多入口进程行为监控，配合风险中心聚合告警
KswordARK 采用分层架构，R0/R3 协议严格隔离在 shared/driver/ 目录（48 个 IOCTL 协议头），用户态不直接调用 DeviceIoControl ，统一通过 ArkDriverClient 封装。
KswordARKDriver（内核驱动，~16 万行 C）
基于 WDF（Kernel-Mode Driver Framework）驱动框架。IOCTL 分发采用三层设计：
•
ioctl_registry.c — 静态注册全部 handler（~100+ 个 IOCTL 入口），不写业务逻辑
•
ioctl_dispatch.c — 薄分发层：查表→路由→统一日志→完成请求
•
ioctl_validation.c — 通用 WDF buffer/访问校验
36 个功能模块各自独立目录，如 process/ （进程枚举、终止、PPL 设置、DKOM 检测）、 kernel/ （SSDT/Shadow SSDT、Inline Hook、IAT/EAT、DriverObject、回调）、 memory/ （虚拟/物理内存读写、页表翻译、可执行内存扫描）、 file/ 、 network/ 、 registry/ 、 callback/ 、 hvm/ 、 storage/ 等。每个模块内 *_ioctl.c 放 IOCTL handler， *_query.c / *_support.c 放真实业务实现。
Ksword5.1（Qt 6 主程序，583 个源文件）
基于 Qt 6 + ADS（Advanced Docking System）的可停靠桌面界面。模块按需加载：启动时只创建轻量占位页，Dock 激活后物化真实页面，兼顾启动速度与完整功能。Dock 模块包括 ProcessDock、KernelDock、MemoryDock、FileDock、NetworkDock、MonitorDock（ETW/WMI/WinAPI 三条监控入口）、RegistryDock、DriverDock、HardwareDock、ScannerDock（PE/ELF/Mach-O 扫描 + 字节编辑器）等。支持中/英双语运行时切换，深色/浅色主题。
KswordARKLight（原生 Win32 轻量版，318 个源文件）
纯 Win32 API 实现，零 Qt 依赖。自实现 DockManager 用于模块布局。同样覆盖全部 ARK 功能模块，适用于老旧系统与快速响应场景。启动时自动提权， OutputDebugString 埋点追踪启动耗时。
KswordCLI（命令行）
单文件命令行工具，封装全部 IOCTL 调用，支持脚本化批处理。
评论