尧图网站建设 
简介这是一份NDIS 6网络驱动开发学习资源压缩包内含可编译的驱动源码与工程文件面向Windows驱动开发初学者、系统程序员及需要维护网络协议栈的工程人员可帮助理解NDIS 6接口规范和驱动运作机制。工程采用Visual Studio组织结构共133个文件、19.39MB主要包含驱动主体C源码覆盖ARP、ICMP、IP、TCP、UDP等协议处理逻辑、头文件与inf安装脚本以及obj中间文件、tlog构建日志、pdb调试符号和sys驱动二进制便于对照源码和PDB做动态调试。通过研读代码可掌握Miniport与Filter驱动的注册流程、数据包收发回调、错误状态处理及电源管理实现思路配合WDK即可实际编译运行。资源已有209人学习对于想快速上手NDIS 6驱动开发或参考真实驱动框架的读者是一份难得且可直接研读的实战素材。1. 从「ndis.zip」这个包说起NDIS 6 驱动离你并不远网卡装不上、无线连不上、抓包工具看不见流量最终排查结果往往指向同一个词NDIS。当你在搜索引擎里敲下“ndis.zip_ndis_ndis6驱动_zip”这组词时大概率手上正拿着一个从厂商页面下载的压缩包里面是.sys、.inf、.cat三件套或者是一台要求你“手动安装 NDIS 6 驱动”的 Windows 机器。NDIS 6 从 Vista 时代沿用至今WFP 调用驱动、虚拟网卡、LWF 过滤驱动全都跑在这套框架上而 zip 恰恰是这类驱动最常见的分发方式。这篇文章会顺着“包里面是什么、为什么这么装、装完怎么验”这条线把 NDIS 6 驱动的原理、签名、部署和排错串起来让新手能照着命令走通让熟手能避开几个签名和版本上的暗坑。2. 认识 NDIS 6 驱动与 zip 包为什么这个压缩包值得研究2.1 NDIS 6 是什么一套横跨 20 年的网络驱动框架NDISNetwork Driver Interface Specification是 Windows 网络驱动体系里的一套标准接口处于网卡硬件与 TCP/IP 协议栈之间。它定义了三类驱动角色**网卡驱动Miniport**直接控制硬件**协议驱动Protocol**负责把 TCP/IP 等协议绑定到网卡上**中间层驱动Intermediate / Filter**则夹在两者之间做过滤、转发、封装。NDIS 6 指的是从 Windows Vista 和 Server 2008 开始启用的这一代 NDIS 规范版本它引入了 NBLNET_BUFFER_LIST数据结构来替代老的 NDIS 5 的 OOB 数据机制同时把大部分中断相关的工作从 DISPATCH_LEVEL 转移到了 PASSIVE_LEVEL这使得驱动写起来更安全也让调试器里看到BUGCODE_NDIS_DRIVER蓝屏时有了更明确的排查方向。到了 Windows 10 和 Windows 11 时代NDIS 6 又在细节上做了多次小版本迭代比如 6.20、6.30、6.40、6.60、6.70 和 6.80分别对应不同年份的 WDK。但不管怎么迭代核心接口仍然保持向后兼容为一个老系统编译的 NDIS 6 驱动普遍可以在新系统上运行反之则不行。这也是为什么你在下载驱动时经常会看到“支持 Win7 到 Win11”这样的描述背后就是ndis.sys提供了多版本运行支持。2.2 从 NDIS 5 到 NDIS 6三个直接改变部署方式的差异先看看两个版本之间的关键差异这直接决定了你得用什么样的 zip 包、装进哪个目录、以及 INF 里怎么写版本号。对比项NDIS 5.xWinXP/2003NDIS 6.xVista 及之后数据包结构NDIS_PACKET OOB 数据NET_BUFFER_LISTNET_BUFFER接收路径驱动自己管理环形缓冲区NDIS 提供接收侧扩展支持 RSCIRQL 要求很多回调在 DISPATCH_LEVEL大部分回调下放到 PASSIVE_LEVEL驱动入口DriverEntry调用NdisMInitializeWrapper更简洁的NdisMRegisterMiniportDriver过滤器支持需要用中间层驱动模拟原生FilterDriver框架直接注册过滤驱动版本声明ndis5在 INF 的 Characteristics 字段标识INF 里写ndis6.0、ndis6.4等这些差异最直接的体现是同一张网卡在 XP 和 Win10 下不能用同一个.sys文件。所以厂商 zip 包里通常会有x86、x64甚至Win7、Win10多个子目录这叫“多平台合包”。你在安装时如果选错了目录就会出现“驱动已安装但设备无法启动错误码 31 或 39”。另一个影响部署的点是 INF 文件里的ddinstall节和CoInstallers。NDIS 6 驱动不再需要 CoInstaller 来注册服务直接通过 INF 的DDInstall节写入系统这让 zip 包里的文件数量从 NDIS 5 时代的“sys dll exe inf cat”减少到三件套。但注意cat文件安全编录仍然必须有否则签名的完整性校验过不去。2.3 zip 包里的 NDIS 6 驱动一个干净分发单元的组成一个标准的 NDIS 6 驱动 zip 包拆开后通常长这样。你拿到手之后先做这一步不要直接双击 INF先把包解压到固定目录比如C:\driver\然后检查文件结构。driver.zip ├── Win10_x64 │ ├── netfltrt.sys │ ├── netfltrt.inf │ └── netfltrt.cat ├── Win10_x86 │ ├── netfltrt.sys │ ├── netfltrt.inf │ └── netfltrt.cat ├── Win7_x64 │ ├── netfltrt.sys │ ├── netfltrt.inf │ └── netfltrt.cat └── Readme.txt.sys是驱动二进制本身.inf是安装描述文件.cat是微软或第三方签名机构对驱动文件做的哈希清单。三者缺一不可没有 INF系统不知道怎么注册服务没有 CAT64 位系统在开启安全启动后拒绝加载未签名驱动没有 SYS剩下两个文件毫无意义。提示如果 zip 包带了密码通常是因为厂商在发布时启用了压缩包加密。不要浪费时间猜弱口令去官方页面找 release notes 里的说明或联系技术支持索取。自行移除 zip 密码的行为在商业软件分发场景里可能违反授权协议。3. 动手实战把 NDIS 6 驱动 zip 包装进 Windows3.1 先用 pnputil 把驱动注册进驱动库在 Windows 10/11 上推荐优先使用pnputil而不是右键 INF 选择“安装”。原因是pnputil会把驱动导入 “驱动存储区”DriverStore并显示明确的返回码方便脚本化和排错。先以管理员身份打开 PowerShell 或 CMD进入解压后的目录cd C:\driver\Win10_x64 pnputil /add-driver netfltrt.inf /install这里的参数含义是/add-driver表示把 INF 和配套文件导入系统驱动库/install指定导入后立即尝试为当前硬件匹配并安装。加号连着用能少跑一次命令。如果只是想把驱动放进 DriverStore 不实际安装到设备以后再做精细化绑定就去掉/install。命令执行完如果出现Published Name的路径回显说明导入成功。为什么pnputil比右键 - 安装更可靠因为右键安装往往只调用UpdateDriverForPlugAndPlayDevices进行一次性的设备匹配不会把驱动注册到驱动库中。这样一来后续当你插入新设备或系统需要自动匹配硬件时可能会找不到这段驱动。而pnputil走的是DiInstallDriver路径和 Windows Update 拉取驱动的通道一致匹配效率更高。3.2 写好 INF 才能安装一个小型 NDIS 6 驱动的 INF 拆解如果你拿到的 zip 包是自研的或者你正打算编译自己的过滤驱动那么 INF 文件的质量决定了安装环节是否会翻车。一个最简的 NDIS 6 过滤驱动 INF 看起来是这样的[Version] Signature $WINDOWS NT$ Class NetService ClassGuid {4D36E974-E325-11CE-BFC1-08002BE10318} Provider %ProviderName% DriverVer 06/01/2024,1.0.0.0 CatalogFile netfltrt.cat [DestinationDirs] DefaultDestDir 12 [DefaultInstall.NTamd64] CopyFiles DriverFiles.NTamd64 AddReg DriverReg.NTamd64 [DefaultInstall.NTamd64.Services] AddService netfltrt, 0x00000002, DriverService [DriverFiles.NTamd64] netfltrt.sys 1,, [DriverReg.NTamd64] HKLM, SYSTEM\CurrentControlSet\Services\netfltrt, Description, , NDIS 6 Sample Filter [DriverService] DisplayName NDIS 6 Sample Filter ServiceType 1 StartType 1 ErrorControl 1 ServiceBinary %12%\netfltrt.sys [Strings] ProviderName Example Corp逐节说明Class和ClassGuid用的是NetService这是网络过滤驱动和协议驱动的容器DefaultDestDir 12表示文件拷贝到%SystemRoot%\system32\drivers这符合 NDIS 驱动的执行路径要求。AddService里的ServiceType1是内核服务类型StartType1表示系统启动即加载ServiceBinary指向%12%目录下的 sys 文件。注意这里没有PnpLockDown也没有ExcludeFromSelect这两行在网卡 miniport 驱动中常见过滤驱动不强制。你的 zip 包里的 INF 如果来自于一个真实 miniport那Class会是NetClassGuid是{4D36E972-E325-11CE-BFC1-08002BE10318}安装后的设备会出现在“网络适配器”下过滤驱动安装后则看不到网络适配器图标只能在服务列表里找到——这是很多人装完过滤驱动后以为失败了的常见原因。3.3 设备还没装好两到三步手动关联如果你的设备是即插即用网卡但pnputil /install没有立刻生效常见原因有硬件 ID 不匹配或系统已有同名驱动。先查一下硬件 IDGet-PnpDevice -Class Net | Format-List InstanceId, FriendlyName, Status pnputil /enum-devices /class Net从输出中确认你要安装的网卡设备实例 ID比如PCI\VEN_10ECDEV_8168再看 INF 的[Manufacturer]节中Models段是否包含这个 ID。如果不包含最直接的办法是打开设备管理器右键未识别的设备选择“更新驱动程序 - 浏览我的电脑 - 让我从列表中选取”然后指向你解压好的目录。这一步绕开了硬件 ID 严格匹配的限制允许用户从该 INF 暴露出的设备列表里手动勾选。对于没有总线枚举的过滤驱动设备比如 LWFpnputil加/install并不能触发安装必须用netcfg来挂载。标准的操作是netcfg -l C:\driver\Win10_x64\netfltrt.inf -c s -i netfltrt-l指定 INF 文件路径-c s表示安装到NetService类-i后面是服务名。这个命令会把过滤驱动绑定到当前所有适配器上。如果只想绑到某个网卡在 netcfg 的旧版本里需要依赖 INetCfg API 写小程序所以不要依赖这种高级用法实际工作中最常用的是全量绑定后再通过Disable-NetAdapterBinding取消不需要的绑定Get-NetAdapterBinding -Name 以太网 -ComponentID netfltrt Disable-NetAdapterBinding -Name 以太网 -ComponentID netfltrt3.4 安装后立刻检查这几个状态字段至关重要装完不等于就行。NDIS 驱动只要在启动加载阶段出错很容易导致网络栈异常。马上跑这个命令看服务状态sc query netfltrt重点关注STATE列。如果显示RUNNING说明内核服务加载结束如果是STOPPED且WIN32_EXIT_CODE不为 0就到系统事件查看器里找System日志中NETIO或ndis来源的错误事件。还有一点NDIS 6 驱动在“服务已启动但设备失败”之间存在一个隐蔽状态pnputil /enum-drivers能看到Published Name设备管理器里网卡也正常但抓包软件没有该接口——这种情况多数是过滤驱动没有绑定到协议栈而不是驱动启动失败。4. 装不上、蓝屏、被签名卡住NDIS 6 驱动部署排错4.1 排查“安装失败”的三个高频错误码第一个错误码是0x800F0244来自 pnputil含义是“无法验证驱动包的签名”。遇到它先确认进入配置的是不是x64驱动再确认系统是否开启 Secure Boot。如果确认签名没问题只是测试证书可以临时用bcdedit /set testsigning on进入测试签名模式仅在测试机上这样做。生产环境禁止长开。第二个高频错误是设备管理器里的错误码 39Windows 无法加载这个硬件的设备驱动程序。这类问题多半是 sys 文件位数和系统不匹配或者是 INF 中DriverVer的日期早于系统内置驱动版本导致 Windows 选择旧驱动。先清掉 DriverStore 里那个同名的老版本pnputil /enum-drivers pnputil /delete-driver oemXX.inf找到被标记为oemXX.inf的发布名删除后重新/add-driver。这样才能确保你 zip 包里的新版本真正“压过”旧版本。第三个错误码错误 31它意味着驱动加载失败但设备重试后仍找不到。这种情况先别重装抓一次内核日志wevtutil qe System /q:*[System[Provider[Namendis] or Provider[NameNETIO]]] /c:20 /f:text看有没有The driver could not be loaded的提示。如果有用CorFlags工具确认 sys 的架构corflags.exe netfltrt.sysPE 头里32BITREQ为真且系统是 64 位时基本可以确认选错了目录。4.2 BUGCODE_NDIS_DRIVER 蓝屏先看 dump再看这里标题里的热搜词bugcode ndis driver是搜索引擎的高频词现象是安装完某个网卡驱动或过滤驱动后开机进入桌面或大量吞吐时直接蓝屏BugCheck 代码为0x0000007E载入驱动失败的情况较少见但同样关联 NDIS。真正和 NDIS 强绑定的 BugCheck 是0x000000D1由驱动在DISPATCH_LEVEL访问可分页内存引发。处理流程只有一个正确入口分析 dump。先开启内核转储Set-ItemProperty -Path HKLM:\SYSTEM\CurrentControlSet\Control\CrashControl -Name CrashDumpEnabled -Value 7这是自动转储配置适合现场抓问题。拿到C:\Windows\MEMORY.DMP后用 WinDbg 打开执行!analyze -v重点看IMAGE_NAME、FAILURE_BUCKET_ID、STACK_TEXT三行。IMAGE_NAME指向模块名如果指向netfltrt.sys那问题几乎锁定在你的驱动如果指向ndis.sys但栈里出现带Filter后缀的函数说明过滤驱动把 NBL 处理坏了。过滤驱动常见的蓝屏根因有三个NdisAllocateNetBufferAndNetBufferList分配了 NetBufferList 池却忘了在完成时释放接收路径里对NBL做了NdisChainNblAtBack但长度算错导致下一个驱动越界以及在FilterSendNetBufferLists中存了指针就返回NDIS_STATUS_PENDING后续异步完成时用的上下文已经被释放。这些只能通过 dump 栈回溯来定位静态看代码很难一眼察觉。4.3 测试签名与正式发布NDIS 6 驱动的签名链路驱动签名有两种微软 WHQL 签名和 第三方 attestation 签名交叉证书签名。对企业内部部署的 NDIS 6 驱动来说常见的做法是从 Microsoft Portal 申请 attestation signing用 Azure 流水线在编译产物上完成签名然后把sys inf cat一起压进 zip 发布。cat文件由签名工具生成INF 的CatalogFile字段必须和文件同名不然安装时SetupVerifyInfFile校验过不了。单机测试时可以用signtoolsigntool sign /f mycert.pfx /p password /fd sha256 /ph netfltrt.sys随后用catctl或直接在 selftest 时InfDefaultInstall.exe netfltrt.inf注意EV 代码签名证书签出的驱动在 Win10 1803 之后必须带有Microsoft 的交叉签名才能在 Secure Boot 开启时被加载。如果你的证书链里不含微软交叉根那么即便签名有效系统仍会报“无法验证此驱动程序的发布者”。在不开启 test-signing 的机器上你看不到任何弹窗提示只会在代码 39 和事件日志里不断出现。这个情况很容易误判成 INF 写错实际上签名链已经断在根证书处。4.4 zip 包本身也可能是问题下载的 zip 从官网直链拿到时通常会经过 CDN 分发压缩包内文件可能是旧版本。先把 zip 里所有文件的版本和日期列出来tar -tf driver.zip tar -xvf driver.zip certutil -hashfile driver.zip SHA256和官网公布的 SHA256 比对不一致就不要继续。另外某些第三方驱动仓库上传的 zip 会因为解压工具的问题把AlternateStreams或Zone.Identifier属性带进文件Windows 内置的 ZIP 解压不会出现这个问题但 7-Zip 用户手动解压有时会遇到Zone.Identifier导致 CAT 里的哈希匹配不上此时右键解压出的 INF 文件选择“属性 - 解除锁定”重新解压即可。现实中还有一类误区把 zip 改名为其他后缀直接拖入设备管理器进行安装Windows 只接受 inf 作为安装入口这种操作必然失败必须解压到目录后指定 INF 路径。5. 自制一个 NDIS 6 过滤驱动 zip 包最小可行路径5.1 用 Visual Studio WDK 快速产出 sys 与 INF使用 WDK 的Filter Driver模板创建空项目后编译前需要确认 TargetVersion 和 Platform 设置。在 Visual Studio 的项目属性里把Target Platform选为Windows 10Platform Toolset选为Kernel Mode Driver。编译完成后输出目录里你会得到netfltrt.sys和自动生成的netfltrt.inf。WDK 生成的原版 INF 不含过滤绑定信息需要手动补上AddReg和DefaultInstall.Services节才能让netcfg在安装时正确写注册表服务项。5.2 把输出目录整理成标准 zip 结构生产环境建议做一个package.ps1脚本把 sys、inf、cat 按架构放进子目录然后压成 zipNew-Item -ItemType Directory -Force -Path .\package\amd64 | Out-Null Copy-Item .\x64\Release\netfltrt.sys .\package\amd64 Copy-Item .\x64\Release\netfltrt.inf .\package\amd64 Copy-Item .\x64\Release\netfltrt.cat .\package\amd64 Compress-Archive -Path .\package\* -DestinationPath .\ndis6_filter_pkg.zip -Force Get-FileHash .\ndis6_filter_pkg.zip -Algorithm SHA256 | Format-List这段脚本做了三件有意义的事把编译输出收拢为只有三个文件的最小结构Compress-Archive使用 Windows 内置 zip 算法保证不污染 Zone.Identifier最后打印 SHA256 供发布页面引用。对大多数分发场景来说把 zip 包里的 INF 做好版本比对就够了不必外加 exe 启动器。5.3 用 netcfg 脚本完成过滤驱动的安装与验证拿到新打好的 zip 后按下面的顺序跑一遍。先注册服务再绑定到指定接口最后验证链路。pnputil /add-driver .\package\amd64\netfltrt.inf netcfg -l .\package\amd64\netfltrt.inf -c s -i netfltrt Get-NetAdapterBinding -Name 以太网 -ComponentID netfltrt验证状态机如果Get-NetAdapterBinding返回的Enabled字段为False说明绑定存在但未挂载执行Enable-NetAdapterBinding开启如果组件 ID 不在列表里说明netcfg没有成功调用 INF 中的服务注册节此时用sc.exe query netfltrt看服务是否存在——服务不存在问题就出在 INF 解析或路径含义没写对。任何时候一次快速的fltmc并不适用于 NDIS 过滤驱动因为它看的是文件系统微过滤正确做法是查hkmsvc或者用Get-NetAdapterBinding列出所有绑定项来确认你的组件已经被协议栈接受。最后的验证方式用ping和New-NetNeighbor确认基本连通后再跑一次大流量传输观察事件日志里ndis.sys是否产生错误记录。本文还有配套的精品资源点击获取 NDIS 6驱动zip包安装与排错全指南
简介这是一份NDIS 6网络驱动开发学习资源压缩包内含可编译的驱动源码与工程文件面向Windows驱动开发初学者、系统程序员及需要维护网络协议栈的工程人员可帮助理解NDIS 6接口规范和驱动运作机制。工程采用Visual Studio组织结构共133个文件、19.39MB主要包含驱动主体C源码覆盖ARP、ICMP、IP、TCP、UDP等协议处理逻辑、头文件与inf安装脚本以及obj中间文件、tlog构建日志、pdb调试符号和sys驱动二进制便于对照源码和PDB做动态调试。通过研读代码可掌握Miniport与Filter驱动的注册流程、数据包收发回调、错误状态处理及电源管理实现思路配合WDK即可实际编译运行。资源已有209人学习对于想快速上手NDIS 6驱动开发或参考真实驱动框架的读者是一份难得且可直接研读的实战素材。1. 从「ndis.zip」这个包说起NDIS 6 驱动离你并不远网卡装不上、无线连不上、抓包工具看不见流量最终排查结果往往指向同一个词NDIS。当你在搜索引擎里敲下“ndis.zip_ndis_ndis6驱动_zip”这组词时大概率手上正拿着一个从厂商页面下载的压缩包里面是.sys、.inf、.cat三件套或者是一台要求你“手动安装 NDIS 6 驱动”的 Windows 机器。NDIS 6 从 Vista 时代沿用至今WFP 调用驱动、虚拟网卡、LWF 过滤驱动全都跑在这套框架上而 zip 恰恰是这类驱动最常见的分发方式。这篇文章会顺着“包里面是什么、为什么这么装、装完怎么验”这条线把 NDIS 6 驱动的原理、签名、部署和排错串起来让新手能照着命令走通让熟手能避开几个签名和版本上的暗坑。2. 认识 NDIS 6 驱动与 zip 包为什么这个压缩包值得研究2.1 NDIS 6 是什么一套横跨 20 年的网络驱动框架NDISNetwork Driver Interface Specification是 Windows 网络驱动体系里的一套标准接口处于网卡硬件与 TCP/IP 协议栈之间。它定义了三类驱动角色**网卡驱动Miniport**直接控制硬件**协议驱动Protocol**负责把 TCP/IP 等协议绑定到网卡上**中间层驱动Intermediate / Filter**则夹在两者之间做过滤、转发、封装。NDIS 6 指的是从 Windows Vista 和 Server 2008 开始启用的这一代 NDIS 规范版本它引入了 NBLNET_BUFFER_LIST数据结构来替代老的 NDIS 5 的 OOB 数据机制同时把大部分中断相关的工作从 DISPATCH_LEVEL 转移到了 PASSIVE_LEVEL这使得驱动写起来更安全也让调试器里看到BUGCODE_NDIS_DRIVER蓝屏时有了更明确的排查方向。到了 Windows 10 和 Windows 11 时代NDIS 6 又在细节上做了多次小版本迭代比如 6.20、6.30、6.40、6.60、6.70 和 6.80分别对应不同年份的 WDK。但不管怎么迭代核心接口仍然保持向后兼容为一个老系统编译的 NDIS 6 驱动普遍可以在新系统上运行反之则不行。这也是为什么你在下载驱动时经常会看到“支持 Win7 到 Win11”这样的描述背后就是ndis.sys提供了多版本运行支持。2.2 从 NDIS 5 到 NDIS 6三个直接改变部署方式的差异先看看两个版本之间的关键差异这直接决定了你得用什么样的 zip 包、装进哪个目录、以及 INF 里怎么写版本号。对比项NDIS 5.xWinXP/2003NDIS 6.xVista 及之后数据包结构NDIS_PACKET OOB 数据NET_BUFFER_LISTNET_BUFFER接收路径驱动自己管理环形缓冲区NDIS 提供接收侧扩展支持 RSCIRQL 要求很多回调在 DISPATCH_LEVEL大部分回调下放到 PASSIVE_LEVEL驱动入口DriverEntry调用NdisMInitializeWrapper更简洁的NdisMRegisterMiniportDriver过滤器支持需要用中间层驱动模拟原生FilterDriver框架直接注册过滤驱动版本声明ndis5在 INF 的 Characteristics 字段标识INF 里写ndis6.0、ndis6.4等这些差异最直接的体现是同一张网卡在 XP 和 Win10 下不能用同一个.sys文件。所以厂商 zip 包里通常会有x86、x64甚至Win7、Win10多个子目录这叫“多平台合包”。你在安装时如果选错了目录就会出现“驱动已安装但设备无法启动错误码 31 或 39”。另一个影响部署的点是 INF 文件里的ddinstall节和CoInstallers。NDIS 6 驱动不再需要 CoInstaller 来注册服务直接通过 INF 的DDInstall节写入系统这让 zip 包里的文件数量从 NDIS 5 时代的“sys dll exe inf cat”减少到三件套。但注意cat文件安全编录仍然必须有否则签名的完整性校验过不去。2.3 zip 包里的 NDIS 6 驱动一个干净分发单元的组成一个标准的 NDIS 6 驱动 zip 包拆开后通常长这样。你拿到手之后先做这一步不要直接双击 INF先把包解压到固定目录比如C:\driver\然后检查文件结构。driver.zip ├── Win10_x64 │ ├── netfltrt.sys │ ├── netfltrt.inf │ └── netfltrt.cat ├── Win10_x86 │ ├── netfltrt.sys │ ├── netfltrt.inf │ └── netfltrt.cat ├── Win7_x64 │ ├── netfltrt.sys │ ├── netfltrt.inf │ └── netfltrt.cat └── Readme.txt.sys是驱动二进制本身.inf是安装描述文件.cat是微软或第三方签名机构对驱动文件做的哈希清单。三者缺一不可没有 INF系统不知道怎么注册服务没有 CAT64 位系统在开启安全启动后拒绝加载未签名驱动没有 SYS剩下两个文件毫无意义。提示如果 zip 包带了密码通常是因为厂商在发布时启用了压缩包加密。不要浪费时间猜弱口令去官方页面找 release notes 里的说明或联系技术支持索取。自行移除 zip 密码的行为在商业软件分发场景里可能违反授权协议。3. 动手实战把 NDIS 6 驱动 zip 包装进 Windows3.1 先用 pnputil 把驱动注册进驱动库在 Windows 10/11 上推荐优先使用pnputil而不是右键 INF 选择“安装”。原因是pnputil会把驱动导入 “驱动存储区”DriverStore并显示明确的返回码方便脚本化和排错。先以管理员身份打开 PowerShell 或 CMD进入解压后的目录cd C:\driver\Win10_x64 pnputil /add-driver netfltrt.inf /install这里的参数含义是/add-driver表示把 INF 和配套文件导入系统驱动库/install指定导入后立即尝试为当前硬件匹配并安装。加号连着用能少跑一次命令。如果只是想把驱动放进 DriverStore 不实际安装到设备以后再做精细化绑定就去掉/install。命令执行完如果出现Published Name的路径回显说明导入成功。为什么pnputil比右键 - 安装更可靠因为右键安装往往只调用UpdateDriverForPlugAndPlayDevices进行一次性的设备匹配不会把驱动注册到驱动库中。这样一来后续当你插入新设备或系统需要自动匹配硬件时可能会找不到这段驱动。而pnputil走的是DiInstallDriver路径和 Windows Update 拉取驱动的通道一致匹配效率更高。3.2 写好 INF 才能安装一个小型 NDIS 6 驱动的 INF 拆解如果你拿到的 zip 包是自研的或者你正打算编译自己的过滤驱动那么 INF 文件的质量决定了安装环节是否会翻车。一个最简的 NDIS 6 过滤驱动 INF 看起来是这样的[Version] Signature $WINDOWS NT$ Class NetService ClassGuid {4D36E974-E325-11CE-BFC1-08002BE10318} Provider %ProviderName% DriverVer 06/01/2024,1.0.0.0 CatalogFile netfltrt.cat [DestinationDirs] DefaultDestDir 12 [DefaultInstall.NTamd64] CopyFiles DriverFiles.NTamd64 AddReg DriverReg.NTamd64 [DefaultInstall.NTamd64.Services] AddService netfltrt, 0x00000002, DriverService [DriverFiles.NTamd64] netfltrt.sys 1,, [DriverReg.NTamd64] HKLM, SYSTEM\CurrentControlSet\Services\netfltrt, Description, , NDIS 6 Sample Filter [DriverService] DisplayName NDIS 6 Sample Filter ServiceType 1 StartType 1 ErrorControl 1 ServiceBinary %12%\netfltrt.sys [Strings] ProviderName Example Corp逐节说明Class和ClassGuid用的是NetService这是网络过滤驱动和协议驱动的容器DefaultDestDir 12表示文件拷贝到%SystemRoot%\system32\drivers这符合 NDIS 驱动的执行路径要求。AddService里的ServiceType1是内核服务类型StartType1表示系统启动即加载ServiceBinary指向%12%目录下的 sys 文件。注意这里没有PnpLockDown也没有ExcludeFromSelect这两行在网卡 miniport 驱动中常见过滤驱动不强制。你的 zip 包里的 INF 如果来自于一个真实 miniport那Class会是NetClassGuid是{4D36E972-E325-11CE-BFC1-08002BE10318}安装后的设备会出现在“网络适配器”下过滤驱动安装后则看不到网络适配器图标只能在服务列表里找到——这是很多人装完过滤驱动后以为失败了的常见原因。3.3 设备还没装好两到三步手动关联如果你的设备是即插即用网卡但pnputil /install没有立刻生效常见原因有硬件 ID 不匹配或系统已有同名驱动。先查一下硬件 IDGet-PnpDevice -Class Net | Format-List InstanceId, FriendlyName, Status pnputil /enum-devices /class Net从输出中确认你要安装的网卡设备实例 ID比如PCI\VEN_10ECDEV_8168再看 INF 的[Manufacturer]节中Models段是否包含这个 ID。如果不包含最直接的办法是打开设备管理器右键未识别的设备选择“更新驱动程序 - 浏览我的电脑 - 让我从列表中选取”然后指向你解压好的目录。这一步绕开了硬件 ID 严格匹配的限制允许用户从该 INF 暴露出的设备列表里手动勾选。对于没有总线枚举的过滤驱动设备比如 LWFpnputil加/install并不能触发安装必须用netcfg来挂载。标准的操作是netcfg -l C:\driver\Win10_x64\netfltrt.inf -c s -i netfltrt-l指定 INF 文件路径-c s表示安装到NetService类-i后面是服务名。这个命令会把过滤驱动绑定到当前所有适配器上。如果只想绑到某个网卡在 netcfg 的旧版本里需要依赖 INetCfg API 写小程序所以不要依赖这种高级用法实际工作中最常用的是全量绑定后再通过Disable-NetAdapterBinding取消不需要的绑定Get-NetAdapterBinding -Name 以太网 -ComponentID netfltrt Disable-NetAdapterBinding -Name 以太网 -ComponentID netfltrt3.4 安装后立刻检查这几个状态字段至关重要装完不等于就行。NDIS 驱动只要在启动加载阶段出错很容易导致网络栈异常。马上跑这个命令看服务状态sc query netfltrt重点关注STATE列。如果显示RUNNING说明内核服务加载结束如果是STOPPED且WIN32_EXIT_CODE不为 0就到系统事件查看器里找System日志中NETIO或ndis来源的错误事件。还有一点NDIS 6 驱动在“服务已启动但设备失败”之间存在一个隐蔽状态pnputil /enum-drivers能看到Published Name设备管理器里网卡也正常但抓包软件没有该接口——这种情况多数是过滤驱动没有绑定到协议栈而不是驱动启动失败。4. 装不上、蓝屏、被签名卡住NDIS 6 驱动部署排错4.1 排查“安装失败”的三个高频错误码第一个错误码是0x800F0244来自 pnputil含义是“无法验证驱动包的签名”。遇到它先确认进入配置的是不是x64驱动再确认系统是否开启 Secure Boot。如果确认签名没问题只是测试证书可以临时用bcdedit /set testsigning on进入测试签名模式仅在测试机上这样做。生产环境禁止长开。第二个高频错误是设备管理器里的错误码 39Windows 无法加载这个硬件的设备驱动程序。这类问题多半是 sys 文件位数和系统不匹配或者是 INF 中DriverVer的日期早于系统内置驱动版本导致 Windows 选择旧驱动。先清掉 DriverStore 里那个同名的老版本pnputil /enum-drivers pnputil /delete-driver oemXX.inf找到被标记为oemXX.inf的发布名删除后重新/add-driver。这样才能确保你 zip 包里的新版本真正“压过”旧版本。第三个错误码错误 31它意味着驱动加载失败但设备重试后仍找不到。这种情况先别重装抓一次内核日志wevtutil qe System /q:*[System[Provider[Namendis] or Provider[NameNETIO]]] /c:20 /f:text看有没有The driver could not be loaded的提示。如果有用CorFlags工具确认 sys 的架构corflags.exe netfltrt.sysPE 头里32BITREQ为真且系统是 64 位时基本可以确认选错了目录。4.2 BUGCODE_NDIS_DRIVER 蓝屏先看 dump再看这里标题里的热搜词bugcode ndis driver是搜索引擎的高频词现象是安装完某个网卡驱动或过滤驱动后开机进入桌面或大量吞吐时直接蓝屏BugCheck 代码为0x0000007E载入驱动失败的情况较少见但同样关联 NDIS。真正和 NDIS 强绑定的 BugCheck 是0x000000D1由驱动在DISPATCH_LEVEL访问可分页内存引发。处理流程只有一个正确入口分析 dump。先开启内核转储Set-ItemProperty -Path HKLM:\SYSTEM\CurrentControlSet\Control\CrashControl -Name CrashDumpEnabled -Value 7这是自动转储配置适合现场抓问题。拿到C:\Windows\MEMORY.DMP后用 WinDbg 打开执行!analyze -v重点看IMAGE_NAME、FAILURE_BUCKET_ID、STACK_TEXT三行。IMAGE_NAME指向模块名如果指向netfltrt.sys那问题几乎锁定在你的驱动如果指向ndis.sys但栈里出现带Filter后缀的函数说明过滤驱动把 NBL 处理坏了。过滤驱动常见的蓝屏根因有三个NdisAllocateNetBufferAndNetBufferList分配了 NetBufferList 池却忘了在完成时释放接收路径里对NBL做了NdisChainNblAtBack但长度算错导致下一个驱动越界以及在FilterSendNetBufferLists中存了指针就返回NDIS_STATUS_PENDING后续异步完成时用的上下文已经被释放。这些只能通过 dump 栈回溯来定位静态看代码很难一眼察觉。4.3 测试签名与正式发布NDIS 6 驱动的签名链路驱动签名有两种微软 WHQL 签名和 第三方 attestation 签名交叉证书签名。对企业内部部署的 NDIS 6 驱动来说常见的做法是从 Microsoft Portal 申请 attestation signing用 Azure 流水线在编译产物上完成签名然后把sys inf cat一起压进 zip 发布。cat文件由签名工具生成INF 的CatalogFile字段必须和文件同名不然安装时SetupVerifyInfFile校验过不了。单机测试时可以用signtoolsigntool sign /f mycert.pfx /p password /fd sha256 /ph netfltrt.sys随后用catctl或直接在 selftest 时InfDefaultInstall.exe netfltrt.inf注意EV 代码签名证书签出的驱动在 Win10 1803 之后必须带有Microsoft 的交叉签名才能在 Secure Boot 开启时被加载。如果你的证书链里不含微软交叉根那么即便签名有效系统仍会报“无法验证此驱动程序的发布者”。在不开启 test-signing 的机器上你看不到任何弹窗提示只会在代码 39 和事件日志里不断出现。这个情况很容易误判成 INF 写错实际上签名链已经断在根证书处。4.4 zip 包本身也可能是问题下载的 zip 从官网直链拿到时通常会经过 CDN 分发压缩包内文件可能是旧版本。先把 zip 里所有文件的版本和日期列出来tar -tf driver.zip tar -xvf driver.zip certutil -hashfile driver.zip SHA256和官网公布的 SHA256 比对不一致就不要继续。另外某些第三方驱动仓库上传的 zip 会因为解压工具的问题把AlternateStreams或Zone.Identifier属性带进文件Windows 内置的 ZIP 解压不会出现这个问题但 7-Zip 用户手动解压有时会遇到Zone.Identifier导致 CAT 里的哈希匹配不上此时右键解压出的 INF 文件选择“属性 - 解除锁定”重新解压即可。现实中还有一类误区把 zip 改名为其他后缀直接拖入设备管理器进行安装Windows 只接受 inf 作为安装入口这种操作必然失败必须解压到目录后指定 INF 路径。5. 自制一个 NDIS 6 过滤驱动 zip 包最小可行路径5.1 用 Visual Studio WDK 快速产出 sys 与 INF使用 WDK 的Filter Driver模板创建空项目后编译前需要确认 TargetVersion 和 Platform 设置。在 Visual Studio 的项目属性里把Target Platform选为Windows 10Platform Toolset选为Kernel Mode Driver。编译完成后输出目录里你会得到netfltrt.sys和自动生成的netfltrt.inf。WDK 生成的原版 INF 不含过滤绑定信息需要手动补上AddReg和DefaultInstall.Services节才能让netcfg在安装时正确写注册表服务项。5.2 把输出目录整理成标准 zip 结构生产环境建议做一个package.ps1脚本把 sys、inf、cat 按架构放进子目录然后压成 zipNew-Item -ItemType Directory -Force -Path .\package\amd64 | Out-Null Copy-Item .\x64\Release\netfltrt.sys .\package\amd64 Copy-Item .\x64\Release\netfltrt.inf .\package\amd64 Copy-Item .\x64\Release\netfltrt.cat .\package\amd64 Compress-Archive -Path .\package\* -DestinationPath .\ndis6_filter_pkg.zip -Force Get-FileHash .\ndis6_filter_pkg.zip -Algorithm SHA256 | Format-List这段脚本做了三件有意义的事把编译输出收拢为只有三个文件的最小结构Compress-Archive使用 Windows 内置 zip 算法保证不污染 Zone.Identifier最后打印 SHA256 供发布页面引用。对大多数分发场景来说把 zip 包里的 INF 做好版本比对就够了不必外加 exe 启动器。5.3 用 netcfg 脚本完成过滤驱动的安装与验证拿到新打好的 zip 后按下面的顺序跑一遍。先注册服务再绑定到指定接口最后验证链路。pnputil /add-driver .\package\amd64\netfltrt.inf netcfg -l .\package\amd64\netfltrt.inf -c s -i netfltrt Get-NetAdapterBinding -Name 以太网 -ComponentID netfltrt验证状态机如果Get-NetAdapterBinding返回的Enabled字段为False说明绑定存在但未挂载执行Enable-NetAdapterBinding开启如果组件 ID 不在列表里说明netcfg没有成功调用 INF 中的服务注册节此时用sc.exe query netfltrt看服务是否存在——服务不存在问题就出在 INF 解析或路径含义没写对。任何时候一次快速的fltmc并不适用于 NDIS 过滤驱动因为它看的是文件系统微过滤正确做法是查hkmsvc或者用Get-NetAdapterBinding列出所有绑定项来确认你的组件已经被协议栈接受。最后的验证方式用ping和New-NetNeighbor确认基本连通后再跑一次大流量传输观察事件日志里ndis.sys是否产生错误记录。本文还有配套的精品资源点击获取