不完全遍历Csrss进程中的句柄表

最新推荐文章于 2022-09-14 13:16:44 发布
最新推荐文章于 2022-09-14 13:16:44 发布
阅读量1.3k 收藏
点赞数
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/u012187684/article/details/18147593
版权
使用ExEnumHandleTable函数来遍历的时候.我在WINDBG观察打印出的句柄.
我发现一个很郁闷的问题.遍历只到19XX的句柄.0x800后的第二.第三张句柄表似乎没有遍历出来.
而我用此函数遍历PSPCIDTABLE的时候却是完全正常.


为了这个问题卡主两天了.恳请看雪的大神解惑.如果能提供相关的帖子或者代码参考是最好的.不胜感激
陈刚12
关注
180314 逆向-反调试技术（7）调试器检测
whklhhhh的博客
04-03 1912
1625-5 王子昂 总结《2018年3月14日》 【连续第529天总结】 A. 反调试技术（7） B. 调试器检测 书上讲了很多SoftICE的检测方法，但是那玩意儿连XP都不支持，时代的眼泪了…… OD的检测方法 查找特征码 遍历进程，将特定地址处的值与OD的特征码进行比对，相同则确定是OD 不过这种方法只针对特定版本的软件，不同版本可能会使得特征码不同，因此有一定缺...
游戏安全之借刀杀人
Hades的博客
08-08 1347
游戏安全之借刀杀人 0x0简介 我们知道现在大多数网络游戏都是有游戏保护的，由于游戏保护的原因当我们使用第三方程序去操作（读写）游戏进程内存的时候，会提示没有读写权限。 这是因为，我们在打开游戏进程(OpenProcess)获取句柄（Handle）的时候，游戏的驱动保护注册有回调过滤我们的句柄权限。 然而在Windows下是有一些系统进程必须与其他进程进行交互的，所以这些系统进程会保存有被...
(Win7) PspCidTable遍历进程句柄表，枚举进程
qiaoli的知识备忘录
06-15 2991
本文出自悠然品鉴小悠，转载请注明出处http://www.youranshare.com/blog/sid/102.html 先说一下句柄表是什么 在windows内核中定义了很多内核对象，像文件对象，线程对象，信号量对象啊等等；而Windows中并没有让我们直接去使用这些对象资源，而是通过句柄让我们去引用这些资源，句柄表就相当于资源的数组，而句柄就是对应资源的索引，每个进程内部都有一个自
通过句柄表遍历进程
HuErr的专栏
06-05 1032
进程线程这块都被人玩滥了......都是些过时了的东西，做为新手，我还是拿来耍耍。 #include #include //结构体是根据windbg查看得出来的。 typedef struct _HANDLE_TABLE { ULONG_PTR TableCode; PEPROCESS QuotaProcess; PVOID UniqueProces
句柄表
qq_41232519的博客
09-13 421
文章目录一、什么是内核对象?二、如何管理内核对象?三、每个进程都有一个句柄表四、多进程共享一个内核对象五、句柄是否”可以”被继承 一、什么是内核对象? 像进程、线程、文件、互斥体、事件等在内核都有一个对应的结构体，这 些结构体由内核负责管理。我们管这样的对象叫做内核对象。 二、如何管理内核对象? 一个进程可以在创建进程、线程、事件、文件，在内核中也会对应一个内核对象（结构体） 三、每个进程都有一个句柄表 正常管理，因该是将内核对象地址返回来，应用层通过地址访问，但是因为内核对象在0环，如果将值改了，就会
涨姿势系列之——内核环境下花式获得CSRSS进程id
weixin_30291791的博客
06-02 173
这个是翻别人的代码时看到的，所以叫涨姿势系列。作者写了一个获取CSRSS进程PID的函数，结果我看了好久才看懂是这么一个作用。先放上代码 1 HANDLE GetCsrPid() 2 { 3 HANDLE Process, hObject; 4 HANDLE CsrId = (HANDLE)0; 5 OBJECT_ATTRIBUTES obj; ...
句柄表 ——遍历句柄表实现反调试
walker的博客
03-17 845
简介 我们知道，当我们尝试在进程中创建、打开内核对象时，该内核对象的地址会作为句柄项存储在进程的句柄表中。 因此，我们可以通过遍历全局句柄表获取操作系统中的全部进程（如 OllyDbg 就实现了进程隐藏，在任务管理器中是无法看到该进程的），然后再遍历每个进程的私有句柄表，检测其私有句柄表中是否存储着被保护进程的内核对象地址 _EPROCESS，就可以得知被保护进程是否被其他进程附加，以达到反调试的目的。 当然通过不断将被保护进程的 _EPROCESS.DebugPort 清零，就可以强制实现进程无法被附加调
易语言遍历CSRSS进程源码
06-01
在本主题中，我们主要关注的是“易语言遍历CSRSS进程源码”。CSRSS（Client/Server Runtime Subsystem）是Windows操作系统中的一个关键组件，负责用户界面的管理以及与系统服务的交互。 CSRSS进程通常隐藏在后台，...
window内核监控工具源代码
09-26
Dll的卸载是通过MmUnmapViewOfSection和MmmapViewOfSection（从sdt表中相应函数搜索到的）来实现的（本来想直接清0 dll空间，有时行有时不行）（只要将这个进程的ntdll卸载了，进程就结束了，一个好的杀进程的办法撒...
windows环境下的自保护探究
hongduilanjun的博客
09-14 1382
我们要想在32位下实现进程保护很简单，通过SSDT hook重写函数即可实现，但是在64位系统下因为引入了PG和DSE的原因，导致SSDT hook实现起来处处受限。但微软同样为了系统安全，增加了一个对象回调函数的接口，利用该回调可以实现对对象请求的过滤保护自身的进程，目前大部分64位下的安全软件保护机制都是基于该方法，我们深入进行探究。
CsrssWalker
Sunny_wwc的专栏
01-20 1045
<br /> <br />学习了一下古老的CsrssWalker，写点笔记~~<br />在Csrss.exe中，保存着所有Win32子系统进程的进程信息，这些信息以链表的形式保存。<br />正常情况下，每一个新创建的进程都会通知Csrss.exe，Csrss.exe接收这些信息然后保存起来，所以遍历这个链表就可以得到所有Win32子系统进程的信息。首先就是找链表头了，链表头为CsrssRootProcess，在CSRSRV.DLL导出的函数中有对CsrssRootProcess的操作，因此可以通过CSR
[note]枚举进程之二(句柄表分析篇)
a519609598的博客
09-18 311
继续接着上篇,这一篇说下句柄表,关于handletable,其实也已经相当科普了~基础知识还是学习下吧. 继续引用下V大的思路. 3.通过pspCidTable获得进程表c4.通过handletablelisthead获得进程表d5.通过csrss的handletable用2种方法枚举获得进程表e和f6.通过扫描当前进程的handletable获得进程表g 在解释如何通过这...
句柄表及全局句柄表
Harlan的博客
09-01 3381
句柄表结构   1.这一块共计两个字节，低字节保留为0，高位字节是给SetHandleInformation这个函数用的，比如写成SetHandleInformation(Handle,HANDLE_FLAG_PROTECT_FROM_CLOSE,HANDLE_FLAG_PROTECT_FROM_CLOSE),那么这个位置将被写入0x02; HANDLE_FLAG_PROTECT_FRO...
全局句柄表 —— 抹除进程PID
walker的博客
03-16 785
简介 进程 PID 是进程的唯一标识，那么如果我们尝试抹除进程的 PID 会发生什么情况呢？ 本次的测试代码以及关于全局句柄表，可参考 全局句柄表 —— 遍历全局句柄表 Code 驱动程序的关键代码如下： // 该句柄是进程句柄 if (!RtlCompareUnicodeString(&pWkPOBJECT_TYPE->Name, &unicode_Process, TRUE)) { DbgPrint("句柄类型: Process, 句柄号: %u.\n", uHand
Win8下枚举任意进程的句柄表。。。(VB6 Code)
weixin_34210740的博客
01-08 232
添加一个Command1、一个List1，代码： Private Type PROCESS_HANDLE_TABLE_ENTRY_INFO HandleValue As Long HandleCount As Long PointerCount As Long GrantedAccess As Long ObjectTypeIndex As Long HandleAttribut...
R3下，遍历所有进程的伪句柄表，关闭指定句柄
被遗弃的庸才博客
10-20 1609
之所以产生这个想法，是在删除文件的时候有时会提示文件被占用了，然后让我们先关闭之后在来删除，但是我怎么知道哪个进程打开了我的文件？ 于是就去网上了找了一份代码然后改了改，接着来说说是怎么实现功能的。首先我们需要遍历所有的进程，所有要找到遍历进程的代码。 //遍历进程 WCHAR * szServerName = NULL; HANDLE WtsServerHandle = WTSOp...
[转载]基于pspCidTable的进程检测技术
yaneng的专栏
06-18 4369
基于pspCidTable的进程检测技术文章作者：gz1x信息来源：邪恶八进制信息安全团队（www.eviloctal.com）一.     pspCidTable概念及内核调试二.     获取pspCidTable的方法三.     几种进程检测方法的对比四.     anti-pspCidTable技术及其他一.     pspCidTable概念及内核调试-----------------
有关遍历进程中句柄的方法总结
mergerly的专栏
04-16 1832
此篇文章说是原创有些牵强。就像题目所说的，更多的是对前人方法的总结。写作的初衷倒也不是技术方面的研究，不过是工作的需求罢了。 方法中涉及到一些函数需要提权，其实我一直以为网上那个标准的提权函数没什么用，直到这次写程序我才知道原来有的时候是真的需要提权的。现附上一份比较好看的提权代码，也方便自己以后使用。   BOOL AdjustProcessPrivilege(HANDLE hProces
系统进程中的风险进程排查与管理
在系统进程中，有些进程可能是看似可疑但并非恶意的，了解它们的作用可以帮助我们更好地管理计算机资源。以下是一些常见的可疑进程及其功能和用途： 1. **systemIdleProcess**： 这是Windows操作系统中的一个后台...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值