NtWARden

Windows 分析与研究工具包

• 基于 ImGui + DirectX 11 构建的 Windows 系统检查工具。
• 涵盖进程、服务、网络、内核内部机制等——支持本地检查或通过 WinSysServer 进行远程检查。

⚠️ 本项目的部分代码在 AI 辅助下编写（vibe coding），因此可能存在一些缺陷。 内核驱动（KWinSys）应仅安装在测试虚拟机中，仅供研究使用。

屏幕截图

进程（内核模式）

进程（用户模式）	ETW 会话	内核回调
内核池	符号	过滤器

架构

功能

用户模式（无需驱动）

内核模式（需要 KWinSys）

分析进程（右键单击 > 分析进程）

针对单个进程的安全分析，可从进程上下文菜单访问。

构建

要求： Visual Studio 2022、Windows SDK 10.0.26100.0+、WDK（用于 KWinSys）

NtWarden.sln
├── NtWarden/          # GUI app
├── WinSys/            # Core library (static lib)
├── KWinSys/           # Kernel driver
└── WinSysServer/      # Remote server

1. 在 Visual Studio 中打开 NtWarden.sln
2. 构建 Release | x64
3. 输出目录为 x64/Release/

驱动安装

KWinSys 需要启用测试签名或具备有效签名。

# Enable test signing (reboot required)
bcdedit /set testsigning on

# On VMs you may also need
bcdedit /set nointegritychecks on

以管理员身份运行 NtWarden。切换到“内核模式”选项卡时，如果驱动尚未加载，将自动安装并启动该驱动。你也可以通过驱动菜单手动管理它。

远程检查

WinSysServer 运行在目标机器（通常是虚拟机）上，通过 TCP 提供系统数据。通过 远程 > 连接 从 NtWarden 进行连接。

需要复制到目标的内容

用户模式功能（进程、服务、网络）无需驱动即可运行。内核选项卡需要在目标上加载 KWinSys。

运行服务器

# Auto-install driver + start server (run elevated)
WinSysServer.exe --install              # default port 50002
WinSysServer.exe --install --port 9000  # custom port

# Or install the driver yourself first
sc create KWinSys type= kernel binPath= "C:\path\to\KWinSys.sys"
sc start KWinSys
WinSysServer.exe [--port <port>]        # default: 50002

从 NtWarden 连接

1. 启动 NtWarden
2. 远程 > 输入目标 IP 和端口 > 连接

协议

基于 TCP 的自定义二进制协议。12 字节头部（MessageType、DataSize、Status）。无认证——仅限在隔离的实验室/虚拟机环境中使用。

测试环境

• Windows 11 23H2 (Build 22631.6199)
• Windows 10 22H2 (Build 19045.2006)
• Windows 10 1703 (Build 15063.13)

致谢

• zodiacon - 项目的主要灵感来源
• WinArk - 内核模式功能的参考

许可证

MIT——参见 LICENSE。