[分享] 全版本 ntoskrnl 任意函数 offset 打包提取/工具-编程技术-看雪安全社区

---

**kphtools** 是一套自动化工具链，能从 Microsoft 符号服务器自动下载各版本 `ntoskrnl.exe` 及其 PDB，解析符号、提取结构体偏移与函数地址，最终一键导出为 SystemInformer 的 `kphdyn.xml`

---

## Why not 联网查询?

> 来你给我个能查询全版本未导出函数RVA的网站

## Why not signature?

如果你用过 Windows 内核的某些未导出函数/变量/结构，一定深有体会：

> 手动维护特征码，会出现某些版本特征码失效的情况，有时候想稳定在全版本windows上定位一个函数甚至需要114514个特征码，这谁受得了。

**kphtools 直接一劳永逸地为每一个版本的ntos维护一个offset合集**

```
Microsoft Symbol Server
        ↓  自动下载 PE + PDB
   符号解析（YAML 中间产物）
        ↓  结构体偏移 / 函数RVA / 变量RVA
   导出 kphdyn.xml
        ↓
   喂给SystemInformer工具链 或者 一↑秒钟写一段代码之：帮我写一个函数，从kphdyn.xml中根据当前ntoskrnl.exe版本加载特定的offset
```

## Why SystemInformer / why kph?

> 谁爱造轮子谁造，我反正不造，有开源的生态不用白不用

---

## 核心能力一览

| 能力 | 说明 |
|---|---|
| **自动下载 PE & PDB** | 从 Microsoft 符号服务器按 `kphdyn.xml` 中的条目，批量下载指定架构、指定版本的 ntoskrnl 二进制及符号文件 |
| **符号解析 & YAML 导出** | 将 PDB 符号解析为结构化 YAML，方便后续使用 |
| **LLM 辅助反编译** | 支持接入大模型，辅助分析未导出函数逻辑，自动提取未命名的函数调用/全局变量。结构体偏移 |
| **IDA Pro 集成** | 联动 IDA（通过 `idalib-mcp`）生成参考反汇编，函数 VA、反编译伪代码一并归档 |
| **一键导出 XML** | `update_symbols.py` 将 YAML 产物合并导出为标准 `kphdyn.xml`，缺失项自动填 `0xffff` / `0xffffffff` |
| **上传服务器** | 内置 HTTP 服务器，支持从用户那里搜集 ntoskrnl 文件，自动校验 PE 签名、自动归档存储 |
| **CI/CD 友好** | 提供完整 Jenkins Pipeline / Github Actino Runner 参考，首次运行约数小时，后续增量更新仅需约 10 分钟![图片描述](upload/attach/202605/619065_PVPSVBSRWEBEZAC.webp) |
 
---

## 快速上手

```bash
# 1. 获取上游最新的 kphdyn.xml
wget https://raw.githubusercontent.com/winsiderss/systeminformer/refs/heads/master/kphlib/kphdyn.xml

# 2. 将本地的symboldir里的游离ntoskrnl同步到kphdyn.xml里 （可选）
uv run update_symbols.py [-xml="kphdyn.xml"] [-symboldir="path/to/symbols"] [-configyaml="config.yaml"] -syncfile

# 3. 下载符号文件（首次耗时较长）
uv run download_symbols.py [-xml="kphdyn.xml"] -[symboldir="path/to/symbols"] [-fast]

# 4. 从exe/pdb里提取必要信息，并输出到YAML
uv run dump_symbols.py [-symboldir="path/to/symbols"] [-configyaml="config.yaml"] [-debug]

# 5. 导出 kphdyn.xml
uv run update_symbols.py [-xml="kphdyn.xml"] [-symboldir="path/to/symbols"] [-configyaml="config.yaml"]
```

---

## LLM 加持：让 AI 自动逆向

对于未导出的内核函数，传统做法是扔进 IDA 人肉逆向——现在你可以：

```bash
uv run python dump_symbols.py \
  -llm_model=gpt-5.4 \
  -llm_apikey=your-key \
  -llm_baseurl=https://api.example.com/v1
```

对于从用户那儿搜刮来的不带pdb的ntoskrnl.exe，LLM 会自动分析反编译代码，输出：
- `found_call` —— 函数调用关系
- `found_gv` —— 全局变量引用
- `found_struct_offset` —— 结构体成员偏移

当然，有pdb的直接从pdb里拿信息就好了。

---

##  上传服务器：收集全版本 ntoskrnl

项目还内置了一个轻量 HTTP 服务器，方便你从用户那儿收集 ntoskrnl.exe：

```bash
uv run upload_server.py [-symboldir="path/to/symbols"] -port=8000
```

特性：
- 自动校验 PE 文件（FileDescription 必须为 `NT Kernel & System`）
- 验证 Authenticode 数字签名
- 自动识别架构（x86 / amd64 / arm64）
- 按 `{arch}/{filename}.{fileversion}/{sha256}/` 目录结构归档
- 支持 gzip 压缩上传
- 去重检查（已存在的文件不会覆盖）
- HTTP Client代码就不提供了。把upload_server.py整个扔给AI让AI自己写个对应的 POST Upload 代码就完事
- 至于HTTPS，自己在上面挂一层nginx或者CDN回源吧
---

## 项目地址

**<a href="elink@d30K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6Y4K9i4c8Z5N6h3u0Q4x3X3g2U0L8$3#2Q4x3V1k6t1e0p5&6p5x3W2c8Q4x3V1k6C8M7r3S2@1L8$3!0D9M7H3`.`."><mark class="encrypted">395K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6Y4K9i4c8Z5N6h3u0Q4x3X3g2U0L8$3#2Q4x3V1k6t1e0p5&6p5x3W2c8Q4x3V1k6C8M7r3S2@1L8$3!0D9M7H3`.`.</mark></a>**

> Star ⭐ 是对作者最好的鼓励，欢迎试用、反馈、提 PR！

冰与火的战歌：Windows内核攻防实战高级班！从零到实战，融合AI与Windows内核攻防全技术栈，打造具备自动化能力的内核开发高手。

最后于 2026-5-8 16:46 被hzqst编辑，原因：

#驱动开发 #开源分享

最新回复 (13)
smallzhong_ 雪币： 3771 活跃值： (6837) 能力值： ( LV5，RANK：65 ) 在线值：发帖 10 回帖 99 粉丝 178 关注私信	smallzhong_ 2 楼前排支持 2026-5-5 21:33 1
需要渗透高手雪币： 114 活跃值： (280) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 42 粉丝 1 关注私信	需要渗透高手 3 楼点个赞 2026-5-5 21:34 0
wx_御史神风雪币： 6759 活跃值： (6514) 能力值： ( LV9，RANK：143 ) 在线值：发帖 16 回帖 38 粉丝 76 关注私信	wx_御史神风 1 4 楼好人一生平安 2026-5-5 21:46 1
smallzhong_ 雪币： 3771 活跃值： (6837) 能力值： ( LV5，RANK：65 ) 在线值：发帖 10 回帖 99 粉丝 178 关注私信	smallzhong_ 5 楼 wx_御史神风好人一生平安我知道明天要上班了，可是也没必要睡这么早吧（逃 2026-5-5 21:55 0
Saileaxh 雪币： 3114 活跃值： (2924) 能力值： ( LV6，RANK：80 ) 在线值：发帖 18 回帖 49 粉丝 111 关注私信	Saileaxh 1 6 楼强烈支持 2026-5-6 10:17 1
mb_iwztiktr 雪币： 257 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 19 粉丝 0 关注私信	mb_iwztiktr 7 楼强烈支持 2026-5-6 15:28 0
xtherk 雪币： 82 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 15 粉丝 0 关注私信	xtherk 8 楼支持 2026-5-6 19:30 0
木志本柯雪币： 6578 活跃值： (8654) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 448 粉丝 9 关注私信	木志本柯 9 楼 SystemInformer 是啥 ai工具吗? 2026-5-7 12:45 0
mb_hmvzkuou 雪币： 5 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 1 粉丝 0 关注私信	mb_hmvzkuou 10 楼有没有大佬带下小白 2026-5-15 18:19 0
mb_snnfdkrl 雪币：能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 17 粉丝 0 关注私信	mb_snnfdkrl 11 楼 66666 2026-5-18 12:17 0
固件安全雪币： 10500 活跃值： (1307) 能力值： ( LV2，RANK：10 ) 在线值：发帖 1 回帖 30 粉丝 0 关注私信	固件安全 12 楼表哥666666 2026-5-18 19:05 0
mb_kppjdiod 雪币： 63 活跃值： (938) 能力值： ( LV2，RANK：10 ) 在线值：发帖 8 回帖 37 粉丝 3 关注私信	mb_kppjdiod 13 楼有QQ群探讨交流ima 2026-7-29 17:17 0
hzqst 雪币： 13006 活跃值： (10082) 能力值： ( LV9，RANK：280 ) 在线值：发帖 48 回帖 1818 粉丝 658 关注私信	hzqst 3 14 楼 mb_kppjdiod 有QQ群探讨交流ima 无，有问题直接github发issue 2026-7-31 11:16 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复