# kdemulator Windows 内核驱动模拟分析工具

> kdemulator 在真实内核之外执行 Windows x86-64 内核驱动二进制文件，以分析 IOCTL。它将 PE 节映射到 Unicorn，截获导入的 NT API 调用，并提供最小化的内核对象与内存模拟；命令行可运行 DriverEntry、发送单次 IOCTL 或循环变异输入。

- 类型：工具
- 目标：二进制
- 类别：调试与动态分析
- 关联：基础工具
- 来源复核于：2026-11-06
- 收录于：2026-11-06
- 原始资源：<https://github.com/000nico/kdemulator>
- 一手来源：<https://github.com/000nico/kdemulator/blob/44c05218b4b83d8a864df540aead218dbdf48e6a/README.md>
- 目录页面：<https://awesomerea.org/zh/resources/kdemulator/>
- 记录 JSON：<https://awesomerea.org/resources/kdemulator/record.json>
- 英文版：[English](https://awesomerea.org/resources/kdemulator/index.md)

## 使用条件与局限

- **范围：**文档中的输入是 Windows x86-64 驱动 .sys 文件。
- **局限：**模拟范围仅包括驱动自身代码和直接导入的函数；访问硬件的驱动需要额外桩函数。
- **许可：**Unlicense 许可证。

## 一手来源

1. <https://github.com/000nico/kdemulator/blob/44c05218b4b83d8a864df540aead218dbdf48e6a/README.md>
2. <https://github.com/000nico/kdemulator/blob/44c05218b4b83d8a864df540aead218dbdf48e6a/emu-cli.md>
3. <https://github.com/000nico/kdemulator/blob/44c05218b4b83d8a864df540aead218dbdf48e6a/LICENSE>

## 同分区更多条目：原生二进制

- [DownUnderCTF：masked-squares 校验器](https://awesomerea.org/zh/resources/rea-ctf-case/index.md) · 案例
- [Show Your Work：对 REA 证据架构的实测剖析](https://awesomerea.org/zh/resources/noflag-rea-evidence-architecture-study/index.md) · 案例
- [Windows 加载器：借助 REA 与 Codex 的静态恶意软件分析](https://awesomerea.org/zh/resources/windows-loader-static-analysis-case/index.md) · 案例
- [OpenBSD netcat：REA 与 Ghidra 静态调查](https://awesomerea.org/zh/resources/netcat-openbsd-rea-static-case/index.md) · 案例
- [m0rph：追踪混淆 ELF 程序的字符串校验逻辑](https://awesomerea.org/zh/resources/m0rph-ctf-analysis-case/index.md) · 案例
- [CPQ IO Scheduler：还原小米的块设备调度器](https://awesomerea.org/zh/resources/cpq-iosched-case/index.md) · 案例

## 关于此条目

说明已依据一手来源复核。
原创说明采用 MIT 许可；外部项目、论文与素材保留各自的权利和许可。