ObQueryNameString的一个问题

 

ObQueryNameString函数用来从对象目录树中,取出指定内核对象的名称.其定义如下:

 

NTSTATUS ObQueryNameString(

IN PVOID Object,

OUT POBJECT_NAME_INFORMATION ObjectNameInfo,

IN ULONG Length,

OUT PULONG ReturnLength );

最近有程序使用到了它.但是总是出错.上网查了一下果然有问题:该函数并没有使用ObjectNameInfo->Name.Buffer指定的地址作为缓冲区,而是想当然的将(ObjectNameInfo + 1)作为

缓冲区了.

 

文章:<强盗函数ObQueryNameString！！！>有详细的描述.

(http://hi.baidu.com/1ian9yu/blog/item/a41cbadd73576adf8c102931.html)

 

今天把WRK中的ObQueryNameString的源代码打开一看,果然是这么实现的:

 

 

....

    //
    //  Set the String buffer to point to the byte right after the
    //  last byte in the output string.  This following logic actually
    //  fills in the buffer backwards working from the name back to the
    //  root
    //

    StringBuffer = (PWCH)ObjectNameInfo;
    StringBuffer = (PWCH)((PCH)StringBuffer + NameInfoSize);

   //NameInfoSize是需要的缓冲区长度,此时StringBuffer指向缓冲区的最后,下面将从后往前来填写

   //内核对象名称

    OriginalBuffer = (PWCH)((PCH)ObjectNameInfo + sizeof( OBJECT_NAME_INFORMATION ));

    try {
....

 

所以,以后使用ObQueryNameString要注意了.:)