(转)how to study rootkit

1.c/c++ -->2.asm -->3. theory about operating systems -->4.native api -->5.KMD-->6.reversing

文章大概就是上面说的那些，1和2就不说了，从3开始吧。

把老罗的那本书一看，应该对进程,线程，PE的理解应该有一个认识了，对操作系统的认识绝对比一般理论介绍的书要深刻很多。

可以看看jeffery richter的《windows核心编程》，中文版的也到第五版来了，通过这本书熟悉对ring3的操作，包括文件、进程、注册表，事件、信号量等等。

文章推荐的《undocument windows NT》很值得一看，有中文版，是董岩翻译的，csdn上有。

这本书，主要从Memory manage，reserving engineering，hook等方面介绍windows NT构架，能让我们大体熟悉NT构架。

文章所说的，Windows NT/2000 Native API Reference 中文译名叫《windowsNT/2000本机API参考手册》见http://www.china-pub.com/4015。

文章推荐的Inside Microsoft Windows 2000 ,现在已经出到第五版了。中文版，到第四版，潘爱民先生翻译的，《深入解析windows操作系统》，放在3来看，可能有点吃力，放在这个位置看，可能更加合适。

关于windows驱动设计的，除了文章推荐的那些，国内的《windows驱动开发详解》和《windows内核安全编程》也是很值得一看，具体资料还是参考下 驱网和第八个男人吧。

至于关于reserving的学习，不必放在第六的位置，可以穿插整个学习过程，看雪的出的书，和《逆向工程揭密》多很值得一看。

自己也Mark一下，不少东西，以后还能用得着，

努力学习windows kernel。。。