逆向学习Windows篇：进程句柄操作详解

本节课在线学习视频（网盘地址，保存后即可免费观看）：

​​https://pan.quark.cn/s/379f94bd2c38​​

逆向学习Windows篇：进程句柄操作详解

在Windows系统中，句柄（Handle）是操作系统用来标识资源的一种抽象概念。句柄在进程间进行资源管理和协调时扮演了重要角色。本文将介绍如何打开进程并获取其句柄、句柄在进程中的作用、如何使用句柄操作进程、每个进程的句柄表，以及句柄的继承方式。本文还将通过一些代码实例来演示这些概念。

一、句柄的基本概念

句柄是一种抽象的数据类型，用于标识和管理系统资源，例如文件、进程、线程、同步对象等。在Windows系统中，句柄由操作系统分配和管理，用户程序可以通过句柄来访问和操作相关资源。

二、如何打开进程获取句柄

1. 使用OpenProcess函数

​​OpenProcess​​函数用于打开一个已存在的进程，并返回该进程的句柄。以下是​​OpenProcess​​函数的原型：

HANDLE OpenProcess(
  DWORD dwDesiredAccess,
  BOOL  bInheritHandle,
  DWORD dwProcessId
);

• ​​dwDesiredAccess​​：指定所需的访问权限。
• ​​bInheritHandle​​：指示是否允许子进程继承该句柄。
• ​​dwProcessId​​：要打开的进程的ID。

示例

以下代码演示了如何使用​​OpenProcess​​函数打开一个进程并获取其句柄：

#include <windows.h>
#include <stdio.h>

int main() {
    DWORD processId = 1234; // 替换为目标进程的ID
    HANDLE hProcess = OpenProcess(PROCESS_ALL_ACCESS, FALSE, processId);

    if (hProcess == NULL) {
        printf("Failed to open process. Error: %lu\n", GetLastError());
        return 1;
    }

    printf("Successfully opened process with handle: %p\n", hProcess);

    // 关闭句柄
    CloseHandle(hProcess);

    return 0;
}

三、句柄在进程中的作用

句柄在进程中用于标识和管理系统资源。通过句柄，程序可以执行各种操作，如读取和写入内存、控制线程、同步操作等。句柄的作用包括：

1. 资源管理：通过句柄，操作系统可以高效地管理和分配资源。
2. 权限控制：句柄包含了访问权限信息，确保只有有权限的操作可以执行。
3. 同步操作：句柄可以用于同步操作，如等待某个事件或信号。

四、如何使用句柄操作进程

1. 读取和写入进程内存

通过​​ReadProcessMemory​​和​​WriteProcessMemory​​函数，可以使用进程句柄来读取和写入进程的内存。

示例

以下代码演示了如何使用进程句柄读取和写入目标进程的内存：

#include <windows.h>
#include <stdio.h>

int main() {
    DWORD processId = 1234; // 替换为目标进程的ID
    HANDLE hProcess = OpenProcess(PROCESS_VM_READ | PROCESS_VM_WRITE | PROCESS_VM_OPERATION, FALSE, processId);

    if (hProcess == NULL) {
        printf("Failed to open process. Error: %lu\n", GetLastError());
        return 1;
    }

    int value = 0;
    SIZE_T bytesRead;
    if (ReadProcessMemory(hProcess, (LPCVOID)0x00000000, &value, sizeof(value), &bytesRead)) {
        printf("Read value: %d\n", value);
    } else {
        printf("Failed to read memory. Error: %lu\n", GetLastError());
    }

    int newValue = 42;
    SIZE_T bytesWritten;
    if (WriteProcessMemory(hProcess, (LPVOID)0x00000000, &newValue, sizeof(newValue), &bytesWritten)) {
        printf("Wrote value: %d\n", newValue);
    } else {
        printf("Failed to write memory. Error: %lu\n", GetLastError());
    }

    // 关闭句柄
    CloseHandle(hProcess);

    return 0;
}

五、每个进程的句柄表

每个进程都有一个句柄表，用于存储与该进程相关的所有句柄。句柄表是一个内核对象，包含了进程可以访问的所有资源的句柄。操作系统通过句柄表来管理和分配句柄。

六、句柄的继承方式

当一个进程创建子进程时，可以选择是否让子进程继承父进程的句柄。句柄的继承方式由​​bInheritHandle​​参数控制，该参数可以在句柄创建时指定。

示例

以下代码演示了如何创建一个子进程，并指定是否继承父进程的句柄：

#include <windows.h>
#include <stdio.h>

int main() {
    // 创建一个可继承的句柄
    HANDLE hEvent = CreateEvent(NULL, TRUE, FALSE, NULL);
    if (hEvent == NULL) {
        printf("Failed to create event. Error: %lu\n", GetLastError());
        return 1;
    }

    // 启动子进程
    STARTUPINFO si = { sizeof(si) };
    PROCESS_INFORMATION pi;
    BOOL inheritHandles = TRUE; // 指示是否继承句柄

    if (!CreateProcess(NULL, "child_process.exe", NULL, NULL, inheritHandles, 0, NULL, NULL, &si, &pi)) {
        printf("Failed to create child process. Error: %lu\n", GetLastError());
        CloseHandle(hEvent);
        return 1;
    }

    printf("Successfully created child process.\n");

    // 关闭子进程句柄
    CloseHandle(pi.hProcess);
    CloseHandle(pi.hThread);

    // 关闭事件句柄
    CloseHandle(hEvent);

    return 0;
}

结论

本文介绍了在Windows系统中如何打开进程并获取其句柄、句柄在进程中的作用、如何使用句柄操作进程、每个进程的句柄表，以及句柄的继承方式。通过这些知识和示例代码，希望能帮助你更好地理解和使用Windows的句柄机制。