RootkitRevealer通过直接读取注册表Hive和NTFS元数据，比对API View与Raw View差异来识别HackerDefender等内核级Rootkit隐藏的进程与注册表项；需以管理员身份运行、关闭第三方安全软件、使用无中文/空格路径，并依据红色三角图标及Raw View有内容而API View为空的条目判定隐藏体。
在Windows系统中快速识别隐藏的Rootkit，特别是像HackerDefender这类擅长挂钩系统API、隐藏进程与注册表项的内核级后门，必须绕过被篡改的系统调用层——RootkitRevealer正是为此设计：它不依赖Windows API，而是直接读取注册表Hive文件和NTFS元数据，通过比对API返回值与原始磁盘数据的差异来暴露隐藏体。
下载与环境准备
从Sysinternals官网（live.sysinternals.com）下载最新版RootkitRevealer压缩包，解压后确认包含RootkitRevealer.exe、logo.gif和下载使用说明.txt三个文件；【务必关闭所有第三方安全软件实时防护，否则RootkitRevealer可能被拦截或误报为可疑程序】。
将解压目录复制到一个不含中文、空格或特殊符号的路径下，例如C:\tools\rr；这一步不是可选优化，而是避免因路径解析失败导致扫描中途退出。
以管理员身份运行并启动扫描
右键点击RootkitRevealer.exe → 选择“以管理员身份运行”；若跳过此步，工具将无法访问内核对象和注册表Hive底层扇区，扫描结果完全不可信。
主界面出现后，直接点击Scan按钮；扫描过程无需人工干预，会自动检查注册表键/值、文件系统条目、驱动加载状态三类核心区域。
等待进度条走完（通常需90–180秒），窗口底部状态栏显示“Scan complete”即表示完成；此时不要关闭窗口，后续操作均在此界面进行。
识别关键差异项
扫描完成后，左侧树状列表展开所有检测项，右侧显示两列对比：API View（系统声称存在的对象）与Raw View（磁盘真实存在的对象）。
师生共创生态系统对接指南。当用户需要对接大学政策、平台资源、投资机构、产业伙伴等外部资源支持时使用。触发词：师生共创生态、大学支持、平台赋能、投资对接、产业合作、政策支持、清华x-lab、孵化器、创业资源
重点查找同时满足以下两个条件的条目：① 行前标记为红色三角图标；② Raw View列有内容而API View列为空白——这类就是被Rootkit主动隐藏的注册表项或文件。
例如发现HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\hdfwdrv仅在Raw View中存在，API View中完全不可见，基本可判定HackerDefender驱动已被加载并HOOK了RegEnumKeyEx等关键API。
导出报告用于离线分析
方法一：点击菜单栏File → Save Report As…，保存为文本文件；报告含时间戳、系统版本、全部差异项原始路径及哈希（如适用）。
方法二：命令行静默扫描（适合批量或脚本调用）：打开管理员权限的CMD，执行RootkitRevealer.exe -a -s C:\rr_report.txt；【-a参数强制自动扫描，-s指定输出路径，缺一不可，否则无输出】。
保存后的报告可传至干净主机，用文本编辑器逐行比对，重点关注Service、Driver、LSA Provider、Winlogon Notify等高危注册表路径下的隐藏项。
