_{深色模式 · Dark Mode　｜　浅色模式 · Light Mode}

Ksword5.1

源码公开的 Windows ARK（反内核隐藏）与内核分析工具集

KSword 是 Windows 10/11 x64 上的 ARK（Anti-Rootkit）和系统分析工具。桌面程序与内核驱动对照用户态和 Ring 0 的进程、驱动、连接等视图。差异是调查线索，需要结合采集能力、采样时序和正常系统行为判断，不能仅凭差异认定隐藏。

除了 cross-view，还有一整套系统工具：内存搜索和 Hex 编辑、PE/ELF/Mach-O 扫描、抓包、原始 NTFS 取证、SSDT/回调/Hook 检查、注册表和启动项审计、设备栈追踪、安全策略检查——大概相当于把十来个工具合到一个窗口里。

检查与修改系统的操作使用独立入口。卸载驱动、原始磁盘写入、保护级别修改等敏感操作有各自的能力检查和确认流程，支持恢复的操作提供恢复入口；缺少偏移或功能时明确显示不可用原因。

按 KSword Community Source License v1.6 源码公开（不是 OSI 认证的开源许可证——见许可证）。

快速开始

解压发行包，管理员运行 Launcher.exe。它会读支持清单然后启动对应的版本。

KswordSetup.exe 是可选的安装器，多了快捷方式创建之类的功能。

[!IMPORTANT] R0 功能需要 KswordARK 驱动已加载。没驱动程序照常能用，内核侧的页面会显示"不可用"。

驱动最低要求 OS build 16299。Launcher 与驱动已取消 OS build 上限拦截；内核功能仍取决于精确 PE/PDB profile 和逐功能校验，更高 Windows build 不等于已验证配置。

两个版本

两者使用同一个驱动和同一套 shared/driver/ 协议，由 Launcher 根据支持清单选择版本。Light 已加入二级页懒加载、进程/实体导航、证据快照与行级差异、可选用户路径脱敏的 JSON/TSV 导出，以及跨进程驱动租约；Light 退出时保留启动前已经运行的驱动。Qt 插件和统一 Qt 内存编辑器属于完整版本。

功能

进程 / 线程 / 句柄 — 树和列表视图、R3/R0 cross-view、线程栈、模块、令牌、PDB 诊断，以及区分异常证据与采集缺口的注入痕迹检查。结束、挂起、R0 隐藏（可恢复）、PPL 修改等操作有门禁。

内存 — 区域浏览、特征搜索、书签、内核可执行内存扫描和 PTE/VA 翻译。完整版本共用 Hex/反汇编/文本/字节对比快照编辑器，支持 x86/x64 Intel 汇编、补丁预览、本地撤销/重做与显式应用。写回绑定读取时的目标和后端，写前比对原字节，完成后以实际回读核验；本地撤销不撤销已提交写入。按页面与能力选择 R3、标准 R0、私有页表窗口或 DDMA，常驻 R-1 访问使用独立流程。见内存编辑器组件清单。

扫描器 — PE / ELF / Mach-O 结构分析。字节编辑只允许等长修改，写之前校验源快照，原子替换，可选备份。

网络 — 抓包过滤、连接管理、按进程限速、请求构造、HTTPS 检查、WFP 防火墙、NIDS、分段下载。R0 清单：TCP / UDP / AFD / NSI / NDIS / WFP。

驱动 / 内核 — 服务管理，DriverObject / DeviceObject / MajorFunction 检查，事务式派发表编辑器，加载链摘除（可恢复），完整性和 cross-view 检查，已卸载驱动 / PiDDB 证据。对象命名空间、SSDT/SSSDT、IAT/EAT/inline Hook、回调（notify、注册表、对象、filter、bugcheck、shutdown、FS、logon、NMI……）、IDT 基线、描述符表和 IOCTL 解码、反汇编。

文件 / 存储 — 双面板管理器、哈希、签名、PE/字符串/Hex、解锁、NTFS 恢复、minifilter 和 Section 证据、原始文件系统浏览和已删除条目分析（默认只读，写入需解锁）、设备树和 R0 设备栈审计。文件侧边栏直接提供 KSword Controller 入口，控制器代码已并入主 KswordARK.sys，支持会话控制、条件写入、复读验证与回滚；可选手动 PnP 绑定使用同一个 KswordARK 服务，普通加载保留原有 SCM 流程。

监控 — 按进程 ETW、syscall 采集、WinAPI agent、WMI 订阅、ETW session 管理、风险中心。类任务管理器的实时图表。

调试器 / 插件 — 可执行插件、UI 插件、插件市场，以及可选的独立 64 位 Cheat Engine / x64dbg 集成，共用 KSword 调试后端。KSword Tab 提供控制和日志，调试器保留自己的窗口；原生调试不依赖驱动。R0/HVM 通路、隐藏执行断点及可选 Shadow 执行页写入取决于策略与能力，不支持的数据断点和回退路径会明确报告。见调试器验证与边界。

窗口 / 注册表 / 句柄 / 启动项 / 服务 / 权限 — 该有的都有，外加 Win32k GUI 审计、启动项风险门禁（带恢复）、服务 TSV/JSON 导出。

安全 — AppLocker、WDAC、Defender/ASR、VBS/Hyper-V、驱动信任、事件日志。

剪贴板保护 — 进程/全局规则分别控制读取、写入和枚举的允许、记录、阻止动作。匹配 x86/x64 架构的 Agent 上报 Hook 就绪与访问事件；实际覆盖取决于注入和会话访问成功。

崩溃分析 — 转储检查、BugCheck 证据，以及截图与崩溃前缓存归因。可选 Shield 通过公共 BugCheck 回调提供有界诊断缓冲，不保证防止蓝屏或从任意内核错误恢复。

内核知识 — 71 篇中英双语可搜索文章，每篇链接到 R3/R0 实时证据页。

HVM / HVM 工作区 — 受保护的多核 Intel VT-x/EPT 常驻、嵌套 VMX 分派与 shadow EPT 合成、EPT 分离视图、EPTP 切换 Hook、执行域、R-1 内存/进程操作与引导式 Hook 向导。AMD SVM/VMCB/NPT 与嵌套 SVM 已实现并接入独立实验路径。准入检查硬件、外层虚拟机监控程序、准备资源、全 CPU 自检及生命周期状态；Intel EPT 扩展不直接适用于 AMD，完整内层系统启动与广泛的 AMD 性能验收仍未完成。仅限实验用途。

物理 CPU / 可选外层虚拟机监控程序
└─ KSword HVM：Intel VMX/EPT 或实验性 AMD SVM/NPT
   └─ 原有 Windows 实例
      └─ 通过嵌套 VMX/SVM 接入的后续虚拟机监控程序
         └─ 子来宾，按对应后端的验收范围使用

仓库结构

Ksword5.1/              完整 Qt 主程序
KswordARKLight/          轻量 Win32 版
KswordARKDriver/         内核驱动
Launcher/                启动助手
KswordCLI/               命令行工具 (文档: docs/CLI使用文档.md)
KswordSetup/             可选安装器
Taskbar/                 顶部 AppBar (S O S Enter 快速拉起)
KswordHUD/               HUD 覆盖
APIMonitor_x64/          64 位 API/剪贴板 Agent
APIMonitor_x86/          32 位 API/剪贴板 Agent
DebuggerBackend/        CE/x64dbg 共享后端
CheatEngineExecutablePlugin/  可选 CE 集成
X96dbgExecutablePlugin/       可选 x64dbg 集成
shared/driver/           共享 IOCTL 协议头
tools/                   PDB 偏移生成器等构建工具
docs/                    技术文档

官网源码：Felix3322/KSwordWebsite

构建

需要 Windows 10/11、VS 2022 的 MSVC x64 工具；完整版本另需 Qt 6.9.3 msvc2022_64 与 QtMsBuild，驱动另需 WDK。Light/Launcher 不依赖 Qt。 构建宿主统一使用 64 位 MSBuild、HostX64 编译器与链接器，不降级到 32 位入口。

主程序 Release/x64 使用仓库脚本。它优先读取 .deps/Qt/6.9.3/msvc2022_64 和 .deps/QtVsTools/msbuild， 检查约定的 64 位工具链，并在构建前读回 HostX64：

& .\tools\Invoke-KSwordBuildCheck.ps1 -RepositoryRoot (Get-Location).Path -Action Build

单独构建 Light 并复用输出目录中已有的 KswordARK.sys 时，需明确跳过驱动构建和签名目标：

$msbuild = 'C:\Program Files (x86)\Microsoft Visual Studio\2022\BuildTools\MSBuild\Current\Bin\amd64\MSBuild.exe'
if (!(Test-Path -LiteralPath $msbuild)) { $msbuild = 'D:\Software\VS\MSBuild\Current\Bin\amd64\MSBuild.exe' }
if (!(Test-Path -LiteralPath $msbuild)) { throw '64-bit MSBuild is required.' }
$hostToolArgs = @('/p:PreferredToolArchitecture=x64', '/p:PROCESSOR_ARCHITECTURE=AMD64', '/p:PROCESSOR_ARCHITEW6432=AMD64')
& $msbuild '.\KswordARKLight\KswordARKLight.vcxproj' /t:Build `
  /p:Configuration=Release /p:Platform=x64 @hostToolArgs `
  /p:KswordArkLightEnsureDriverBuilt=false /p:KswordArkLightSkipDriverSign=true `
  /p:KswordArkLightReuseSignedDriver=true /m:1 /v:minimal

所有手工 MSBuild 命令均传入上述三项宿主架构属性。复用驱动仍须符合预期协议与能力；跳过构建不证明签名或加载有效。发行包与辅助项目流程见 AGENTS.md。

& .\tools\Invoke-KSwordBuildCheck.ps1 -RepositoryRoot (Get-Location).Path `
  -Action Rebuild -DisableWholeProgramOptimization

$solutionDir = (Resolve-Path '.\Ksword5.1').Path + '\'
$apiValidatorX64 = 'C:\Program Files (x86)\Windows Kits\10\bin\10.0.26100.0\x64'
& $msbuild '.\KswordARKDriver\KswordARKDriver.vcxproj' /t:ApiValidator `
  /p:Configuration=Release /p:Platform=x64 /p:SolutionDir=$solutionDir @hostToolArgs `
  /p:ApiValidator_ApiExtractorExePath=$apiValidatorX64 /m:1 /v:minimal

贡献

协议头放 shared/driver/，UI 只通过 ArkDriverClient 访问驱动，内核偏移来自经过验证的 PDB/DynData profile（不硬编码），新文件要加 .vcxproj + .vcxproj.filters。

详见：CONTRIBUTING.md · AGENTS.md

文档

文档索引 — 当前功能指南、构建与开发参考、验收记录和历史研究。

CLI使用文档 · 功能技术文档 · 内核知识中心 · IOCTL 审计 · OpenArk对照 · 动态偏移接入 · PDB/R0 审计准备 · 插件系统 · 多语言规范

虚拟化（HVM）：嵌套虚拟化架构 · EPT切换后端设计 · 嵌套下的跨核TLB失效 · 隐蔽Hook安全边界决策 · 自动化测试 · VM测试机搭建

声明

本项目包含系统级调试、审计和管理能力，仅限在合法授权的环境中使用。

许可证

按 KSword Community Source License v1.6 源码公开。这里说的"开源"指源码可见，不是 OSI 认证的开源许可证。再分发和商用条款以 LICENSE 为准。

社区公约 是关于署名和负责任使用的约定，不是额外的许可限制。贡献规则见 CONTRIBUTING.md。

开发状态

嵌套 VMX 分派与 shadow EPT 合成已经实现，不再列为未来功能。AMD SVM/NPT、更广的来宾/硬件兼容性与 HVM 性能仍处于实验范围，按各自证据跟进。BugCheck 诊断与 Shield 也已有边界明确的实现，不是通用的防蓝屏保证。当前指南和历史实验在文档索引中分开说明。