如何通过HalGetInterruptVector获取Windows IDT键盘中断？调用蓝屏问题排查

咱们先从x64 Windows最核心的限制说起——PatchGuard（补丁保护），这几乎是你触发蓝屏的首要原因。微软在x64系统里加入这个机制，就是为了阻止任何修改系统关键结构的操作，包括IDT（中断描述符表）、GDT、MSR寄存器等。哪怕你成功调用HalGetInterruptVector拿到了键盘中断向量，只要敢直接修改IDT表项，PatchGuard立刻就会触发蓝屏（常见错误码比如0x000000C4），这是x64系统的硬限制，绕不开的。

接下来聊聊HalGetInterruptVector本身的使用问题：

• 参数与调用约定错误：x64下内核函数一律采用fastcall调用约定，参数通过RCX、RDX等寄存器传递。如果你的代码里误用了__stdcall或者其他调用约定，会直接导致栈混乱，函数内部执行出错触发蓝屏。另外，键盘是ISA总线设备，调用时总线类型要传BUS_ISA，IRQ号是1，参数如果传错（比如把总线类型写成PCI），函数会返回无效向量，后续操作必然踩非法内存。
• HAL版本兼容性：Windows 8的HAL实现和旧版本有差异，HalGetInterruptVector的内部逻辑可能有所变化，如果你照搬x86或者更早版本的调用方式，很容易出问题。

再说说你尝试修改IDT的潜在问题：

• x64的IDT表项是64位结构，和x86完全不同，需要正确设置段选择子、权限位、中断处理函数地址等字段。哪怕有一个字段写错，CPU触发中断时就会直接抛出异常蓝屏。
• 就算你侥幸绕开了PatchGuard，中断处理函数的栈帧要求也极其严格：必须完整保存所有非易失性寄存器，严格遵循x64内核的栈布局，稍有不慎就会破坏系统栈，导致蓝屏。

最后给你几个可行的方向：

• 用合法接口实现键盘过滤：别碰IDT这种底层结构，Windows提供了官方的键盘过滤方案——通过KMDF/WDF框架编写键盘类过滤驱动，用IoAttachDeviceToDeviceStackAttach挂载到键盘类设备上，就能合法拦截键盘输入，完全不会触发PatchGuard，这也是微软推荐的做法。
• 如果非要玩底层（不推荐）：首先得关闭PatchGuard，但Windows 8及以后版本关闭PatchGuard难度极大，而且系统会彻底失去稳定性，也无法通过任何微软认证。另外要严格检查HalGetInterruptVector的调用参数，确保返回的向量有效，同时正确构造x64的IDT表项和中断处理函数。
• 驱动签名问题：x64 Windows要求内核驱动必须有微软签名，未签名的驱动在正常模式下根本加载不了，强行加载也会蓝屏。如果是测试阶段，先开测试签名模式：bcdedit /set testsigning on，重启后再加载驱动。

内容的提问来源于stack exchange，提问作者bruno guimarães