OLA 文档中心

主题

2026-09-08

驱动内核模块总览 - Overview ​

本分类做什么 ​

围绕 内核驱动：加载卸载、调试符号、进程隐藏/保护、文件系统过滤（ProtectFile）、VipProtect 高级保护、导入导出驱动、伪装进程、内核句柄 等。高风险，需管理员权限与兼容驱动签名策略；仅合法授权环境使用。

驱动加载说明 ​

场景说明
默认（内置欧拉驱动）首次调用任意驱动相关接口时 自动加载，无需 手动 LoadDriver，也 无需 额外初始化步骤。
自签名 / 迁移驱动须先 ExportDriver 导出 blob，自行签名后通过 ImportDriverFromFile 或 ImportDriver 导入。
权限驱动相关功能均须以 管理员权限 运行。
LoadDriver高级用法：按指定名称与路径加载驱动；一般场景不需要。

一、驱动生命周期与调试 ​

接口差异
LoadDriver、UnloadDriver高级用法：按路径加载/卸载驱动；内置欧拉驱动默认会自动加载。
DriverTest通信/功能自检；失败返回错误码。
EnableVtDriverVT 相关开关；失败返回错误码（与 DriverTest 一致）。
驱动错误码说明DriverTest / EnableVtDriver / ProtectFile* / VipProtect* / VT 伪写等接口的错误码对照表（含十进制）。
LoadPdb、GetPdbDownloadUrls符号调试与 PDB 下载地址。

二、进程/线程与伪装 ​

接口说明
AddProtectPID、RemoveProtectPID、AddAllowPID、RemoveAllowPID保护名单 与 白名单。
HideProcess、ProtectProcess、ProtectProcess2隐藏/保护 进程（版本差异见详情页）。
ProtectWindow防截图 等窗口保护（与 图像处理 截图有关）。
SetMemoryMode驱动层 内存访问模式。
SetMemoryCallMode默认内存 Call 方式（远程执行入口）；影响 BindWindowEx mode=11/12、Inject type=5/7 等，不影响 AsmCall。
FakeProcess伪装 进程信息。
KeOpenProcess、KeOpenThread内核态 打开进程/线程句柄（与 ring3 OpenProcess 不同）。
ExportDriver、ImportDriver、ImportDriverFromFile导出/导入 驱动 blob（自签名、迁移场景）。
InjectDll与 注入 分类可能互补，以详情页为准。

三、文件保护子系统：ProtectFile* ​

方向接口示例
驱动开关ProtectFileEnableDriver、ProtectFileDisableDriver
过滤器ProtectFileStartFilter、ProtectFileStopFilter、ProtectFileTestDriver（失败返回错误码，见 驱动错误码说明）
路径策略ProtectFileAddProtectedPath、Remove、Clear、Query
进程名单AddWhitelist、Remove、Clear、QueryWhitelist；黑名单 同理

与 VipProtect 差异：ProtectFile 偏 文件系统路径 与 过滤驱动；VipProtect 见下一节。

四、VipProtect 子系统 ​

方向接口
总开关VipProtectEnableDriver、VipProtectDisableDriver
条目VipProtectAddProtect、RemoveProtect、ClearAll
名单AddWhitelist、RemoveWhitelist、ClearWhitelist；黑名单同理

与 ProtectFile 差异：VipProtect 为 另一套高级保护策略（具体策略对比见详情页），勿混用配置键。

五、快速选型 ​

需求建议
防止截图被截ProtectWindow + 截图模式文档
保护某目录不被读写ProtectFile* 路径与黑白名单
迁移自签名驱动ExportDriver → 目标机 ImportDriverFromFile / ImportDriver（默认内置驱动无需此步骤）

六、注意 ​

  • 蓝屏、卡死、杀软拦截为常见风险；生产环境 必须先在 虚拟机 验证。
  • 若某接口在侧栏被注释掉（如部分 VT 伪写），以 当前仓库 与 发行说明 为准。