《windows内核情景分析》对象的创建

      创建系统调用的过程：

    1.通过ObCreateObject()创建目标对象

    2.目标对象本身的初始化

    3.通过ObInsertObject()将目标对象插入对象目录和句柄表，并返回句柄。

    凡是创建对象的系统调用，都要提供至少两个输入参数，其一是DesiredAccess，说明所创建对象的访问模式；另外一个是ObjectAttributes，这是一个OBJECT_ATTRIBUTES结构指针。

ntdll!_OBJECT_ATTRIBUTES
   +0x000 Length           : Uint4B
   +0x004 RootDirectory    : Ptr32 Void
   +0x008 ObjectName       : Ptr32 _UNICODE_STRING
   +0x00c Attributes       : Uint4B
   +0x010 SecurityDescriptor : Ptr32 Void
   +0x014 SecurityQualityOfService : Ptr32 Void

    对象总是创建在某个目录中，这个目录必须事先已经打开，当前进程必须拥有这个已打开目录的句柄。这里的字段RootDirectory就是这个目录节点的句柄.

    由OBJECT_ATTRIBUTES数据结构带下来的某些信息最后进了目标对象头部的OBJECT_HEADER和OBJECT_CREATE_INFORMATION数据结构。