.sys 扩展名通常用于驱动程序。虽然它们是相同的 PE 可执行文件，但它们在内核模式下运行，因此使用内核执行程序本身公开的内核模式 API ( ntoskrnl.exe ) 或内核模式 DLL，例如 hal.dll。AFAIR 有人制作了假的 DLL 来模拟足够的内核 API，以在像 Olly 这样的用户模式调试器中实现驱动程序的解包，但我没有方便的链接。