用途：分析 EAC、BattlEye、Vanguard 等反作弊组件的驱动与服务，理解其检测机制如何工作，适用于自有设备、自有账号、实验室或已获书面许可的授权研究。明确禁止制作或分发作弊程序、在真实游戏环境实施绕过。
主要能力：识别反作弊驱动与服务组件（driverquery、sc query、fltmc），记录驱动名、服务名、安装路径与 sha256；静态逆向驱动（DriverEntry、IRP 分发表、IOCTL 交互），重点还原完整性校验、内存扫描与回调注册（PsSetCreateProcessNotifyRoutine、PsSetLoadImageNotifyRoutine）；通过内核调试观察回调与校验函数触发时机；分析用户态加载器与服务的心跳、报告通道与更新检查；整理检测面清单（完整性校验、内存特征、行为时序、驱动层监控）并输出防御向报告。
使用方式：先做组件识别，再静态还原驱动校验逻辑，配合内核调试（双机或 VM 串口、KDNET）观察执行路径，用户态辅助组件可用 x64dbg 快速定位。所有动态实验须在隔离沙箱与快照内进行，操作前打快照，蓝屏即回滚。
限制：分析结论须锚定驱动版本与 sha256，具体地址与偏移不跨版本复用；报告不得包含可操作绕过步骤或驱动敏感材料；attach 失败不等于目标为 PPL，需先查真实 protection level；内核调试并非唯一动态观测手段，用户态服务、IPC、文件与注册表活动、ETW、网络交互等各有观测面。资料未提供具体收费、平台支持范围与效果数据。