Windows操作系统----进程与线程----句柄

执行体对象位于系统空间，用户空间通过句柄来引用。

句柄是进程范围内的对象引用。

句柄实际是一个索引，指向进程句柄表中的一个表项。

EPROCESS->ObjectTable

第一个是4，第二个是8......

句柄表示一个多层次结构。

ObjectTable类型为HANDLE_TABLE，句柄结构为HANDLE_TABLE_ENTRY。

对于一个句柄，其生命周期从被插入句柄表开始，到被关闭，此过程中，对象的引用计数中包含有句柄的一份引用。

此外还有一个CID（Client ID handle table）句柄表，用于生成PID和TID，PID和TID实际是该句柄表中的索引。

HANDLE_TABLE

typedef struct _HANDLE_TABLE
{
     ULONG TableCode;                      //指向句柄表存储结构
     PEPROCESS QuotaProcess;               //句柄表的内存资源所在进程
     PVOID UniqueProcessId;                //创建者PID
     EX_PUSH_LOCK HandleLock;              //句柄表锁，句柄表扩展时使用
     LIST_ENTRY HandleTableList;           //所有句柄表形成一个链表，表头HandleTableListHead
     EX_PUSH_LOCK HandleContentionEvent;   //访问句柄时发生竞争，在此等待
     PHANDLE_TRACE_DEBUG_INFO DebugInfo;   //调试信息
     LONG ExtraInfoPages;                  //审计信息占有的页面数量
     ULONG Flags;                          //标志域
     ULONG StrictFIFO: 1;                  //是否使用FIFO风格的重用
     LONG FirstFreeHandle;                 //空闲链表表头的句柄索引
     PHANDLE_TABLE_ENTRY LastFreeHandleEntry;          //最近被释放的句柄索引
     LONG HandleCount;                                 //句柄表项数量
     ULONG NextHandleNeedingPool;                      //下一次句柄表扩展的句柄表项索引
} HANDLE_TABLE, *PHANDLE_TABLE;

TableCode

        指向句柄表最高层表项页面。低两位代表当前句柄表层数。若为0，表示只有一层。

        每个最底层句柄表页面中，第一个表项有特殊用途。

FirstFree

        当前句柄表中所有空闲句柄的组成一个链表，这个链不通过地址链接，通过句柄索引值链接。该域指示链表头的索引值。

HANDLE_TABLE_ENTRY

typedef struct _HANDLE_TABLE_ENTRY
{
     union
     {
          PVOID Object;                               //指向句柄所代表对象，第三位有特殊含义
          ULONG ObAttributes;                         //
          PHANDLE_TABLE_ENTRY_INFO InfoTable;         //指向各个句柄表页面的第一个表项
          ULONG Value;                                //
     };
     union
     {
          ULONG GrantedAccess;                        //访问掩码
          struct
          {
               WORD GrantedAccessIndex;
               WORD CreatorBackTraceIndex;
          };
          LONG NextFreeTableEntry;                    //该表项空闲时，保持下一个空闲表项的索引
     };
} HANDLE_TABLE_ENTRY, *PHANDLE_TABLE_ENTRY;

Object

• 第0位：锁标志
• 第1位：子进程是否继承该句柄
• 第2位：关闭该对象是否产生审计事件

每个最底层句柄表页面

        第一个句柄表项的NextFreeTableEntry成员等于-2。

        InfoTable成员指向一张HANDLE_TABLE_ENTRY_INFO表，该表每一项都是审计掩码

句柄->内核对象

句柄有4种可能：

• -1：当前进程
• -2：当前线程
• 负值：绝对值为内核句柄表中的索引，仅内核模式函数使用
• 小于2^26的正值：索引

内核句柄表指系统空间的全局句柄表。即System进程的句柄表。

欢迎关注我的微博：大雄_RE。专注软件逆向，分享最新的好文章、好工具，追踪行业大佬的研究成果。