如何检查WDM/KMDF驱动是否应用retpoline修复及定位未修复驱动

安全阿岳

2026-7-4

检查WDM/KMDF驱动是否包含Retpoline修复及批量排查方法

单个驱动的检查方式

方法1：通过dumpbin查看导入表

打开Visual Studio 2022对应的开发者命令提示符（匹配驱动架构，比如x64 Native Tools Command Prompt），执行以下命令：

dumpbin /imports 你的驱动文件.sys

在输出结果里找是否存在KiRetpolineJump或KiRetpolineCall这两个来自ntoskrnl.exe的导入函数。有则说明驱动已应用Retpoline修复，无则未修复。

方法2：反汇编检查代码特征

同样用开发者命令提示符，执行反汇编命令：

dumpbin /disasm 你的驱动文件.sys

在输出中搜索jmp qword ptr [KiRetpolineJump]或call qword ptr [KiRetpolineCall]这类指令，这是Retpoline缓解Spectre漏洞的典型代码特征。

批量排查多个驱动

如果要一次性检查打包里的所有.sys文件，可以写批处理脚本自动遍历检查：

@echo off
setlocal enabledelayedexpansion

for %%f in (*.sys) do (
    echo === 检查文件: %%f ===
    dumpbin /imports "%%f" | findstr /i "KiRetpolineJump KiRetpolineCall" > nul
    if !errorlevel! equ 0 (
        echo 已包含Retpoline修复
    ) else (
        echo *未包含Retpoline修复*
    )
    echo.
)
pause

把脚本存为CheckRetpoline.bat，放到驱动文件所在目录，运行后就能批量输出每个驱动的检查结果。