OpenArk 是一款专为 Windows 平台设计的开源 anti‑rootkit（ARK）工具。ARK 代表 Anti‑Rootkit，意为对抗隐藏的恶意程序。项目由 BlackINT3 团队维护，代码公开在 GitHub，使用者可以自由下载、编译或二次开发。软件本身是独立的 exe 文件，没有额外的 dll 依赖，支持 32 位和 64 位系统，兼容从 Windows XP 到 Windows 11 的多个版本。界面提供简体中文和英文两种语言，后续计划支持更多语言。
一、核心功能
-
进程与线程管理
-
查看系统中所有进程、线程、模块、句柄、内存、窗口、令牌等信息。
-
支持进程注入、DLL 注入（x86/x64）以及进程强制卸载。
内核工具
-
枚举已加载的驱动，查看驱动的入口、基址、大小等细节。
-
检查系统回调、过滤器、IDT/SDT、NDIS、WFP 等内核结构。
-
支持热键列表查询，帮助定位被占用的系统快捷键。
文件与 PE 扫描
-
解析 PE 文件结构，显示导入表、导出表、资源信息等。
-
未来计划加入病毒特征库，用于隐藏恶意软件的检测。
内存与存储检测
-
直接读取物理内存，提供内存扫描功能。
-
支持对 NPFS、MailSlot 等特殊驱动的枚举。
编程助手与实用工具
-
包含常用的编码转换、字符集工具、垃圾清理等小工具。
-
提供捆绑器，可将多个程序打包为一个 exe，支持脚本化操作。
控制台与脚本
-
内置交互式控制台，提供多种命令，可用于批量操作或自动化脚本。
二、使用场景
-
安全研究：安全分析人员可以利用内核工具和进程查看功能，发现系统中隐藏的 rootkit 或后门。
-
故障排查：系统管理员在排查异常进程、驱动冲突或热键被占用时，可快速定位问题根源。
-
逆向工程：逆向工程师可以使用进程注入、内存查看和 PE 解析功能，辅助调试和分析目标程序。
-
教学演示：教师在讲解操作系统内部结构时，可现场展示驱动加载、回调链表等内核细节。
三、技术实现
OpenArk 采用 UNONE 与 KNONE 两个底层库实现对内核和用户态的统一访问。界面基于 Qt 5.6.2 开发，兼容 Visual Studio 2015/2017/2019 编译链。所有功能均在本地执行，无需网络连接，也不向外发送数据，保证了使用过程中的隐私安全。
四、总结
OpenArk 通过提供进程、内核、文件、内存等多维度的系统检测手段，为逆向工程师、安全研究员和系统管理员提供了一套完整且可自由定制的工具集。它的开源特性让用户可以审查代码、自行扩展功能；便携 exe 形式免除安装过程，适合在不同机器上快速部署。整体上，OpenArk 是一款功能丰富、使用灵活且安全可靠的 Windows anti‑rootkit 解决方案，值得在系统安全和逆向分析工作中进行尝试与使用。
下载地址
https://pan.quark.cn/s/940bc0f3c61c
