内核对象句柄表

最新推荐文章于 2023-05-24 15:49:28 发布
最新推荐文章于 2023-05-24 15:49:28 发布
阅读量227 收藏
点赞数
文章标签： 数据结构与算法
原文链接：http://www.cnblogs.com/wang-can/p/3330770.html
版权

1、内核对象句柄表：

索引指向内核对象内存块的指针访问掩码标志
10xF00000000x???????0x0000000

2、索引值。内核对象的句柄的是HANDLE值（先将HANDLE右移两位，移掉访问掩码和标志就是索引值了）。

3、指向内核对象的指针。这个值是内核对象的数据结构的指针，存在于内核区间。

4、标志。表示这个内核对象是否可以继承。

 

转载于:https://www.cnblogs.com/wang-can/p/3330770.html

weixin_34130269
关注
  • 0
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
内核句柄表(Windows内核学习笔记)
KOOKNUT的博客
04-05 808
每个有效的句柄都对应着句柄表中的一个表项，表项在句柄表中的位置取决于句柄的值。每当进程创建或者打开一个对象，要为之创建句柄并将其插入句柄表的时候，需要一个临时的HANDLE_TABLE_ENTRY数据结构，用ExCreateHandle将其安装到句柄表中，而该函数返回句柄，句柄的值表明了安装的位置，也是目标表项在句柄表中的下标。
WIN64驱动编程基础教程
12-06
详细目录如下： 0.基础的基础 |-学习WIN64驱动开发的硬件准备 |-配置驱动开发环境 ------------------------------ 1.驱动级HelloWorld |-配置驱动测试环境 |-编译和加载内核HelloWorld ------------------------------ 2.内核编程基础 |-WIN64内核编程的基本规则 |-驱动程序与应用程序通信 |-内核里使用内存 |-内核里操作字符串 |-内核里操作文件 |-内核里操作注册表 |-内核里操作进线程 |-驱动里的其它常用代码 ------------------------------ 3.内核HOOK与UNHOOK |-系统调用、WOW64与兼容模式 |-编程实现突破WIN7的PatchGuard |-系统服务描述表结构详解 |-SSDT HOOK和UNHOOK |-SHADOW SSDT HOOK和UNHOOK |-INLINE HOOK和UNHOOK ------------------------------ 4.无HOOK监控技术 |-无HOOK监控进线程启动和退出 |-无HOOK监控模块加载 |-无HOOK监控注册表操作 |-无HOOK监控文件操作 |-无HOOK监控进线程句柄操作 |-使用对象回调监视文件访问 |-无HOOK监控网络访问 |-无HOOK监视修改时间 ------------------------------ 5.零散内容 |-驱动里实现内嵌汇编 |-DKOM隐藏进程+保护进程 |-枚举和隐藏内核模块 |-强制结束进程 |-强制读写进程内存 |-枚举消息钩子 |-强制解锁文件 |-初步探索PE32+格式文件 ------------------------------ 6.用户态HOOK与UNHOOK |-RING3注射DLL到系统进程 |-RING3的INLINE HOOK和UNHOOK |-RING3的EAT HOOK和IAT HOOK ------------------------------ 7.反回调 |-枚举与删除创建进线程回调 |-枚举与删除加载映像回调 |-枚举与删除注册表回调 |-枚举与对抗MiniFilter |-枚举与删除对象回调
x64 Global HANDLE 全局句柄表
Mikasys的博客
10-20 771
全局句柄表 0: kd> dq PspCidTable fffff800`04070408 fffff8a0`00004880 00000000`00000000 fffff800`04070418 ffffffff`80000020 00000000`00000101 fffff800`04070428 ffffffff`80000298 ffffffff`80000024 fffff800`04070438 00000000`00000000 00000000`00000113 fffff
win10 x64全局句柄表
weixin_41725706的博客
12-05 465
x64全局句柄表
易语言枚举内核对象句柄
07-22
易语言枚举内核对象句柄源码,枚举内核对象句柄,枚举系统句柄,CloseRemoteHandle,结束内核对象句柄,测试线程,CompareFunc3,RtlMoveMemory1,CopyMemory_SYSTEM_PROCESSES,ZwQueryInformationProcess,...
易语言源码易语言枚举内核对象句柄源码.rar
03-31
易语言源码易语言枚举内核对象句柄源码.rar
《Windows核心编程系列》谈谈内核对象及句柄的本质
01-09
本章讨论的是相对抽象的概念，不涉及任何具体的内核...调用创建内核对象的函数后，该函数会返回一个句柄，它标识了所创建的对象。它可以由进程的任何线程使用。在32位系统中，句柄是一个32位值。64位系统中则是64位值。
易语言枚举内核对象句柄源码-易语言
06-13
易语言枚举内核对象句柄源码
X64下的解析句柄表
zfdyq
12-07 3414
一：X64下的句柄表的查找： 关于PspCidTable的寻找，我是通过PsLookupProcessByProcessId查找特征码寻找pspCidTable和32位没什么区别。 疑问：我想在KPCR中的KdVersionBlock中寻找，但是64位系统不知道为什么总是NULL，各位牛牛知道的求科普~ 寻找PspCidTable： SIZE_T FindCidTable() { SI
win10 x64进程句柄表
weixin_41725706的博客
12-04 512
win10 x64进程句柄表研究测试
win10 x64驱动实现遍历全局句柄表
weixin_41725706的博客
12-06 522
win10 x64驱动遍历全局句柄表
Windows 10 X64 内核对象句柄表解析
vs2008ASPNET的专栏
05-24 1150
fweWindows 很多API函数都会创建和使用句柄(传入参数)，句柄代表一个内核对象的内存地址，每个进程都有一个句柄表，它保存着进程拥有的句柄，内核也有一个句柄表 PspCidTable，它保存着整个系统的句柄。0xffff8d85`570ff000 notepad.exe句柄表地址，低两位为0 表示是1级表。(句柄项>>0x10)&0xfffffffffffffff0 = 对象地址(低位)句柄表地址+(进程ID>>0xa*8)-1。从内核句柄项中解析出内核对象地址。由上内核函数逆向可知。
x64驱动 遍历 PspCidTable 枚举隐进程和线程
墨鱼菜鸡
06-05 274
介绍 PspCidTable 是一个内核句柄表，存放进程和线程的内核对象(EPROCESS 和 ETHREAD)，并通过 PID 和 TID 进行索引(所以进程ID和线程ID不可能相同)，ID 号以 4 递增。 获取 ...
内核对象与句柄的关系
chen802311的专栏
12-09 1764
一：一个对象是不是内核对象，通常可以看创建此对象API的参数中是否需要：PSECURITY_ATTRIBUTES 类型的参数。 二：内核对象只是一个内存块，这块内存位于操作系统内核的地址空间，内存块中存放一个数据结构（此数据结构的成员有如：安全描述符、使用计数等）。 三：每个进程中有一个句柄表（handle table），这个句柄表仅供内核对象使用，如下图： 四：解开此中的秘密 比
浅谈windows句柄表
923723914
03-22 473
浅谈windows句柄表 windows定义了很多内核对象：进程对象、线程对象、互斥量对象、信号量对象、事件对象、文件对象等等。在调用相应的函数创建这些对象后，我们都可以通过HANDLE类型的句柄来引用它们。或许你在一些书上看到过说句柄相当于指针，它指向具体的对象。在某种程度上来说这是不错的，但是进一步深入探究时就会发现这样的说法很不准确。说到句柄就不能不提句柄表，句柄必须通过句柄表才能找到...
句柄表及全局句柄表
Harlan的博客
09-01 3283
句柄表结构   1.这一块共计两个字节，低字节保留为0，高位字节是给SetHandleInformation这个函数用的，比如写成SetHandleInformation(Handle,HANDLE_FLAG_PROTECT_FROM_CLOSE,HANDLE_FLAG_PROTECT_FROM_CLOSE),那么这个位置将被写入0x02; HANDLE_FLAG_PROTECT_FRO...
windows内核对象
最新发布
08-31
Windows内核对象可以通过使用Process Explorer来查看其创建情况，并且可以使用对象句柄继承来实现进程边界共享内核对象。此外，lsobj工具可以使用NtQueryDirectoryObject()函数来列出Windows内核对象名称空间中的...

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值