ObTypeIndexTable 在win7x86 和win10x64对比

最新推荐文章于 2024-10-02 07:30:00 发布
最新推荐文章于 2024-10-02 07:30:00 发布
阅读量253 收藏
点赞数 3
分类专栏： 内核学习 文章标签： windows visual studio microsoft c语言
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/weixin_43751677/article/details/139784390
版权

当作备忘录,其他概念请自行搜索
 

  1. 对象类型和对象结构体类型

     

  2. win7 x86
  3. win10 x64


    寻找_object_type结构的地址 过程不一样,但是总归是在全局变量_ObTypeIndexTable数组中寻找

    win7 的寻找过程

我代码抄都抄不明白
关注
专栏目录
Win7 OBJECT_HEADER之TypeIndex解析
多媒体编程、网络编程、系统编程、网络安全编程、驱动编程
07-26 1278
Win7 OBJECT_HEADER之TypeIndex解析 2010年08月09日 13:30 在Windows系统的对象管理中，为了能够从对象头获取对象类型指针，在Win7以前的系统里直接在OBJECT_HEADER里保存了POBJECT_TYPE指针，而这一点在Win7系统里发生了改变。Win7中把所有的对象类型放在了一个表里，这个表叫做ObTypeIndexTa
Win7 Object_Header之TypeIndex解析，ObGetObjectType使用
求索
03-01 2407
在暴力搜索内存进程对象反隐藏进程这篇文章中，我们提到： Object Header偏移0×008处Type成员为对象类型值,相同类型的对象具有相同的值.  自Window  7开始, _OBJECT_HEADER及其之前的一些结构发生了变化.  lkd> dt _object_header nt!_OBJECT_HEADER +0×000 PointerCount      : I
Windows句柄表学习笔记
zfdyq
10-17 2118
遍历系统进程有一种方法就是通过解析句柄表来遍历，于是学习了一下Windows句柄表。 句柄表位于EPROCESS结构的+0x0f4 偏移处(win7x86)，先来看一下句柄表的结构： kd> dt 0x83d58fc0 _HANDLE_TABLE nt!_HANDLE_TABLE +0x000 TableCode : 0x94bac001 //句柄表 +0x0
利用Volatility进行Windows内存取证分析(二)：内核对象、内核池学习小记
Fly_鹏程万里
05-16 4613
简介windows下内存取证的内容概括起来讲就是检测系统中有没有恶意程序,有没有隐藏进程,有没有隐藏文件,有没有隐藏服务,有没有隐藏的驱动,有没有隐藏网络端口等等.而进程,文件,驱动等等部件在内存中是以内核对象的形式独立存在的。而通常形形色色的rootkit会尝试修改操作系统的内部数据结构来达到隐藏自身的目的.安全研究员要想在内存取证中做到游刃有余,就需要对windows各种内存对象相关概念进行深...
探索Windows内核系列——Object的结构
sunjiaoya的博客
01-16 954
探索Windows内核系列——Object的结构
Win10-16299-PE-x86x64-wfii-10.31.iso
06-24
10 wifi pe
Visual Assist X vs6-vs2012 win7 win8 X86 X64通用
04-20
Visual Assist X V10.7.1929.0 win7，win8.1，vs2010，vs2012，32位/64位系统通用 1、首先安装VA_X_Setup1929.exe 2、将VA_X.dll复制到安装目录，并覆盖原有文件，完成破解。
eclipse-jee-mars-R-win32-x86_64位官方绿色版.zip
06-30
7. **跨平台兼容性**：虽然这里提到的是win32-x86_64位版本，但Eclipse实际上也支持其他操作系统，如Linux和macOS，确保开发者可以在不同的操作系统上进行开发工作。 8. **持续集成**：Eclipse Mars加强了对持续...
USBasp驱动-Win10-driver-x86-x64-v3.0.7.zip
04-15
USB-isp驱动能够在WIN10 32位系统下使用，但不支持X64位WIN10系统。网上很多在WIN7系统32位和64位下能用，这个支持WIN10。 解压后直接运行InstallDriver.exe安装驱动。亲测正常。
Devcon 10.0.14393.0 x86/x64 支持win7到win10的系统
12-09
在标题中提到的"Devcon 10.0.14393.0 x86/x64 支持win7到win10的系统"，指的是这个版本的Devcon适用于从Windows 7到Windows 10的多个操作系统，同时包括32位(x86)和64位(x64)架构。 Devcon的主要功能包括： 1. **...
记一次WIN7 64位的内核对象类型分析之获取（二）
qq_37213846的博客
09-26 686
一 . 前言 对象类型是以数组的形式存放在内存中，所以获取对象类型首先得定位到存放对象类型数组的表的位置。 二 . WINDBG下查找对象类型数组表 通过在windbg反汇编ObGetObjectType函数得到 图中ObTypeIndexTable就是存放对象类型的数组表起始地址 fffff80005638100 对象类型从数组第三个元素开始。 三 . （一）VC获取对象类型的地址（...
遍历系统的所有ObjectType和TypeIndex
weixin_33985679的博客
11-09 400
Windows内部有很多的对象类型，比如PROCESS类型，THREAD类型，FILE类型，LPC PORT类型，DEVICE类型等等，我们可以使用sysinternal提供的winobj工具来查看（win7 x86 sp1） 在编程的过程中我们有时候需要用到类型的索引（TypeIndex），由于在不同的操作系统版本中TypeIndex会发生改变，本文将教大家一种方法来遍历这些类型还有其相应...
内核对象HOOK
weixin_45050926的博客
02-03 334
内核对象HOOK 内核对象的结构 首先我们来了解一下内核对象的基本结构，每一个内核对象都是由对象头和对象体组成，对象头都是一样的，对象体 不同的内核对象是不一样的。该结构体请参考内核结构体。 //0x20 bytes (sizeof) struct _OBJECT_HEADER { LONG PointerCount; ...
无硬编码获取所有对象类型地址
zhuhuibeishadiao
05-02 2038
NTKERNELAPI PVOID NTAPI ObGetObjectType( IN PVOID pObject ); void GetObjectTypeWin7x86() { BOOLEAN i = 2; ULONG j= 2; ULONG64 ObjectType; // while (ObGetObjectType(&i+0xC)) {
[Windows] 内核对象
LYSM
09-07 660
什么是内核对象 Windows 中一切皆为 对象，Linux 中一切皆为 文件。内核对象是 Windows 用来管理资源的一种 数据结构 内核对象分类 访问标记对象 注册表键对象 调试对象 目录对象 符号链接对象 事件对象 文件对象 文件映射对象 IO完成端口对象 LPC端口对象 作业对象 邮槽对象 进程对象 线程对象 令牌对象 时钟对象 线程池对象 互斥对象 管道对象 信号量对象 ...
--------驱动开发之 ObReferenceObjectByName() 故障排查--------
weixin_30348519的博客
01-16 484
—————————————————————————————————————————————————————— 在写 filter driver 或 rootkit 时，经常需要 attach 到设备栈中的目标设备，来拦截途经的 IRP（I/O Request Packet），实现过滤功能。首先要获悉目标设备向 Windows Object Manager 维护的全局名称空间注册的 _DEV...
驱动保护中的ObjectType_Callback探索
whatday的专栏
10-31 9547
最近学习驱动保护，有点小小心德与大家分享下。 当前环境:VM中的win7 32 保护程序是某游戏的驱动保护。 具体现象是：在用PCHunter工具查看object钩子时发现如下的信息：   疑问点1：在HOOK列显示的是ObjectType_Callback,以前只听说过ObjectType HOOK没听说过这个呀，这个是什么呢？ 疑问点2：Object类型列显示的是“Pro
cmd命令大全详解
huxyc的博客
09-28 2298
cmdschtasks /create /tn [任务名] /tr [任务运行的命令] /sc [任务触发器]cmdbitsadmin /transfer [任务名] /download [源URL] [目标文件路径]cmdrobocopy [源路径] [目标路径] [文件名]cmdcopy [源文件路径] [目标文件路径]cmdmove [源文件路径] [目标文件路径]cmdfind [要查找的字符串] [文件名]cmdshutdown /s /t [秒数]cmdassoc [文件扩展名]
数据结构 ——— 单链表oj题：返回链表的中间节点
最新发布
weixin_55341642的博客
10-02 411
slow 指针一次走一步，fast 指针一次走两步，那么 fast 指针就是 slow 指针的二倍
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值