SYSTEM_HANDLE_TABLE_ENTRY_INFO

最新推荐文章于 2021-11-23 17:39:41 发布
最新推荐文章于 2021-11-23 17:39:41 发布
阅读量543 收藏
点赞数
原文链接：http://www.cnblogs.com/suanguade/p/6985954.html
版权

typedef struct _SYSTEM_HANDLE_TABLE_ENTRY_INFO {
USHORT UniqueProcessId;
USHORT CreatorBackTraceIndex;
UCHAR ObjectTypeIndex;
UCHAR HandleAttributes;
USHORT HandleValue;
PVOID Object;
ULONG GrantedAccess;
} SYSTEM_HANDLE_TABLE_ENTRY_INFO, *PSYSTEM_HANDLE_TABLE_ENTRY_INFO;

 

出自 WRK1.2

转载于:https://www.cnblogs.com/suanguade/p/6985954.html

weixin_30500473
关注
  • 0
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
定位HandleTableEntry(Windows内核学习笔记)
KOOKNUT的博客
04-07 946
通过HandleTable定位HandleTableEntry的方法： typedef union _EXHANDLE { struct { ULONG_PTR TagBits:2;//这两位为0 ULONG_PTR Index:29;//句柄表的索引 }; struct { ULONG_PTR...
HANDLE-->HANDLE_TABLE_ENTRY
SUNE__学无止境
12-16 771
0
JIURL玩玩Win2k进程线程篇 HANDLE_TABLE
jiurl的专栏
08-18 3438
JIURL玩玩Win2k进程线程篇 HANDLE_TABLE作者: JIURL                 主页: http://jiurl.yeah.net     日期: 2003-7-30     Win2k Build 2195 中 EPROCESS 偏移+128 处的
windbg学习笔记 FOR 内核调试(三) --进程句柄表HANDLE_TABLE
tomorrowsprogress的专栏
08-24 1732
windbg学习笔记 FOR 内核调试(三) --进程句柄表HANDLE_TABLE                                       想当年 初学核编 , 阅读第三章的内核对象的时候跟看天书没什么感觉 死命在想到底内核对象 , 句柄是个什么东西 干嘛用的 于是我们工作室的老大就对我说 这篇看过就过了 学到后面你自然会明白的     我想也是 ,
(转) SYSTEM_HANDLE_INFORMATION中ObjectTypeIndex的定义
weixin_33901926的博客
05-13 236
typedef struct _SYSTEM_HANDLE_TABLE_ENTRY_INFO{ USHORT UniqueProcessId; USHORT CreatorBackTraceIndex; UCHAR ObjectTypeIndex; UCHAR HandleAttributes; USHORT HandleValue; PVOID Object; ULONG Gr...
【转】SYSTEM_HANDLE_INFORMATION
01-04 452
typedef struct _SYSTEM_HANDLE_INFORMATION{ ULONG ProcessId; UCHAR ObjectTypeNumber; UCHAR Flags; USHORT Handle; ...
windbg 学习笔记 FOR 内核调试(三) --进程句柄表HANDLE_TABLE
做一个优雅的程序员
12-22 1813
<br />想当年初学核编,阅读第三章的内核对象的时候跟看天书没 什么感觉死命在想到底内核对象,句柄是个什么东西干嘛用的于是我们工作室的老大就对我说这篇看过就过了学到后面你自然会明白的<br />     我想也是, 很多时候感觉学东西的确是这样暂时看不懂的先放着过段时间再看回来就恍然大悟了.我前段时间又看了下核编的第三章唯一的收获就是能够大概了解到hanle这个所谓的索引的作用了.我也跟工作室的小学弟讲过我理解的句柄(但是讲完看到他们茫然的表情~郁闷了~没办法可能知识面实践经验等还不足以理解我说的东西
通过遍历系统句柄信息(SystemHandleInformation),获取系统进程和当前进程的eprocess
热门推荐
pureman_mega的博客
11-23 1万+
实验环境：win10 1909 64 参考：https://blog.csdn.net/qinlicang/article/details/4489727 首先，获取系统的句柄信息；然后，在句柄信息表中进行搜索，通过数据结构进行匹配；最后，确定系统进程和当前进程的eprocess; 主要数据结构如下： typedef struct _SYSTEM_HANDLE_TABLE_ENTRY_INFO { USHORT UniqueProcessId; USHORT CreatorBack
获得进程的EPROCESS
Kendiv's Box
01-31 5528
获得进程的EPROCESS发布日期：2004-06-02文摘内容： 文摘出处：http://www.xfocus.net/articles/200406/706.html创建时间：2004-06-01文章属性：原创文章提交：MustBE (zf35_at_citiz.net)By [I.T.S]SystEm32Welcome to our web site http://itaq.ynpc
Linux环境配置编译orange,分析orangepizero kernel编译过程
weixin_39728213的博客
05-02 615
最近买了个orangepizero版本的，用的是全志的H2芯片。看起来有短小精悍。不过网上资料较少。看了下好多东西都是参考别人的弄过来的。所以看起来代码有一些混乱。但是如果做高层开发。这些都不是问题。因为高层开发不需要了解底层硬件的区别。只当做是一台电脑就行。不过遗憾的是，我是做驱动开发。话不多说，详细的编译过程，可以参考官方给的文档。这里对里面的个别细节做展开分析。一、代码的下载过程第一步是通过...
Turla中的rootkit_fdisk.sys分析(一）
pureman_mega的博客
08-02 368
（果然分析不下去了，这个样本涉及的内容太广，我得去补充补充知识再来接着分析了） 最近发现这个模块比较有趣，还是个x64上的，正好可以练习一下x64的汇编，写下来有个更好的理解。由于个人能力有限，这个过程可能会持续几个月，或者更长，不知道能不能弄完。下面通过一些汇编片段来学习它的编程思路及技巧。 仅供参考，如有错误欢迎指出。 1，获取系统信息，函数原型: ULONG64 GetSystemI...
用户句柄表的遍历
Mikasys的博客
10-20 564
私有句柄表 _HANDLE_TABLE_ENTRY的Object直接指向_OBJECT_HEADER不用减 #include <ntifs.h> //一个页最大容纳的_HANDLE_TABLE_ENTRY #define MAX_ENTRY_COUNT (0x1000/sizeof(HANDLE_TABLE_ENTRY)) //未公开未文档化 typedef PVOID(NTAPI *OBGETOBJECTTYPE)(IN PVOID pObject); EXTERN_C NTKERNE
获取进程打开的互斥量
穷途末路
05-06 1785
最近有个任务涉及到区分【同进程名进程】，所以想到了用进程”拥有”的互斥量来区分这些进程。所以下面实现了获取指定进程”拥有”哪些互斥量的方法，当然这种方法也适合各种内核对象（FILE、REG…)。 1. 使用NtQuerySystemInformation检索SystemHandleInformation(16)即可获得系统中所有的句柄信息： 通过SystemHandleInformati
ObReferenceObjectByHandle() 函数简略分析
93Storm
01-01 6074
原文链接 1. 逆向出来的 ObReferenceObjectByHandle() 函数实现 这个函数的实现请参考这个文章：ObReferenceObjectByHandle() 函数，这里不再重复贴出。 这个函数的原型是： NTSTATUS ObReferenceObjectByHandle( IN HANDLE Handle, IN ACCESS_MASK Desi
R3 x64枚举进程句柄
zhuhuibeishadiao
05-02 5713
需要注意的是：在R3使用ZwQueryObject很容易锁死,需要放到线程中，如果线程超过500ms就说明卡死了 就只能放弃这个句柄了  这个句柄外面是一个FileObject类型,但真实是一个信号类型 还有在R3中枚举 有一个句柄我们是没有权限操作了 就是EtwRegistration类型的 如果非要解决这个问题,可以参考国外的一个开源进程管理器 ProcessHack 我的操作是判断
内核句柄表(Windows内核学习笔记)
KOOKNUT的博客
04-05 820
每个有效的句柄都对应着句柄表中的一个表项，表项在句柄表中的位置取决于句柄的值。每当进程创建或者打开一个对象，要为之创建句柄并将其插入句柄表的时候，需要一个临时的HANDLE_TABLE_ENTRY数据结构，用ExCreateHandle将其安装到句柄表中，而该函数返回句柄，句柄的值表明了安装的位置，也是目标表项在句柄表中的下标。
2
zapline的专栏
08-01 804
SYSTEM_INFO
最新发布
06-07
`SYSTEM_INFO`是Windows API中的一个结构体，用于存储系统的基本信息，包括处理器架构、处理器数量、页面大小等。 `SYSTEM_INFO`结构体的定义如下： ```cpp typedef struct _SYSTEM_INFO { union { DWORD dwOemId; struct { WORD wProcessorArchitecture; WORD wReserved; }; }; DWORD dwPageSize; LPVOID lpMinimumApplicationAddress; LPVOID lpMaximumApplicationAddress; DWORD_PTR dwActiveProcessorMask; DWORD dwNumberOfProcessors; DWORD dwProcessorType; DWORD dwAllocationGranularity; WORD wProcessorLevel; WORD wProcessorRevision; } SYSTEM_INFO, *LPSYSTEM_INFO; ``` `SYSTEM_INFO`结构体包含了许多成员，其中比较重要的成员有： - `wProcessorArchitecture`：处理器架构，值为PROCESSOR_ARCHITECTURE_AMD64（表示x64架构）或PROCESSOR_ARCHITECTURE_INTEL（表示x86架构）。 - `dwNumberOfProcessors`：处理器数量。 - `dwPageSize`：页面大小。 - `dwAllocationGranularity`：内存分配粒度。 下面是一个示例程序，演示如何使用`SYSTEM_INFO`结构体获取系统信息： ```cpp #include <iostream> #include <windows.h> int main() { SYSTEM_INFO sysInfo; GetSystemInfo(&sysInfo); std::cout << "Processor Architecture: "; switch (sysInfo.wProcessorArchitecture) { case PROCESSOR_ARCHITECTURE_AMD64: std::cout << "x64" << std::endl; break; case PROCESSOR_ARCHITECTURE_INTEL: std::cout << "x86" << std::endl; break; default: std::cout << "Unknown" << std::endl; break; } std::cout << "Number of Processors: " << sysInfo.dwNumberOfProcessors << std::endl; std::cout << "Page Size: " << sysInfo.dwPageSize << " bytes" << std::endl; return 0; } ``` 在上述示例中，我们首先定义了一个`SYSTEM_INFO`结构体变量`sysInfo`，然后调用`GetSystemInfo`函数将系统信息写入该结构体中。最后，我们输出了一些系统信息，包括处理器架构、处理器数量、页面大小等。 需要注意的是，使用`SYSTEM_INFO`结构体需要包含Windows.h头文件。

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值