WINDOWS OBJECT笔记

最新推荐文章于 2024-11-13 21:04:16 发布
最新推荐文章于 2024-11-13 21:04:16 发布
阅读量1.1k 收藏
点赞数
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/whowho/article/details/8766362
版权

 

 

 

 

 

dd obpRootDirectoryObject

kd> dd obpRootDirectoryObject

80561978 e10001c0 00000000 00000001 00000000

80561988 00000000 00040001 00000000 80561994

80561998 80561994 00000000 867eb478 00000000

805619a8 00000000 00000000 00000000 00000000

805619b8 00000000 00000000 00000000 805632d0

805619c8 80574021 00000000 00000000 867eb2a8

805619d8 e1001ca0 00000000 00000000 00000000

805619e8 00000000 00000000 00000000 00000000

 

kd> dt _OBJECT_DIRECTORY e10001c0

nt!_OBJECT_DIRECTORY

  +0x000 HashBuckets      : [37] 0xe1009420 _OBJECT_DIRECTORY_ENTRY

  +0x094 Lock             : _EX_PUSH_LOCK

  +0x098 DeviceMap        : (null)

  +0x09c SessionId        : 0xffffffff

  +0x0a0 Reserved         : 0

  +0x0a2 SymbolicLinkUsageCount : 0x6f

 

kd> dd e10001c0

e10001c0 e1009420 e160dbd8 e1021ab8 e100d460

e10001d0 00000000 e17e98a0 e18df9e8 00000000

e10001e0 00000000 e1611318 e1005490 00000000

e10001f0 00000000 e1020c38 e157c9c0 00000000

e1000200 e1566f00 00000000 00000000 e100a488

e1000210 e15eca00 e181c4b8 e157b9a0 e1615c08

e1000220 e1566ef0 e177a858 e1e085c8 e1009440

e1000230 00000000 00000000 00000000 e100c518

kd> dt nt!_OBJECT_DIRECTORY_ENTRY e1009420

  +0x000 ChainLink        : (null)

  +0x004 Object           : 0xe100d748 Void

 

根据OBJECT得到object_header

kd> dt!_object_header 0xe100d748-18

nt!_OBJECT_HEADER

  +0x000 PointerCount     : 0n7

  +0x004 HandleCount      : 0n0

  +0x004 NextToFree       : (null)

  +0x008 Type             : 0x867eb478 _OBJECT_TYPE

  +0x00c NameInfoOffset   : 0x10 ''

  +0x00d HandleInfoOffset : 0 ''

  +0x00e QuotaInfoOffset  : 0 ''

  +0x00f Flags            : 0x32 '2'

  +0x010 ObjectCreateInfo : 0x00000001 _OBJECT_CREATE_INFORMATION

  +0x010 QuotaBlockCharged : 0x00000001 Void

  +0x014 SecurityDescriptor : 0xe1000102 Void

  +0x018 Body             : _QUAD

 

根据OBJECT得到NameInfo（）

nt!_OBJECT_HEADER_NAME_INFO

  +0x000 Directory        : 0xe10001c0 _OBJECT_DIRECTORY

  +0x004 Name             : _UNICODE_STRING "ArcName"

  +0x00c QueryReferences  : 1

 

 

 

 

HashBuckets为偏移0地址为e10001c0 37个4字节的!_OBJECT_DIRECTORY_ENTRY

e10001c0

kd> !object \

Object: e10001c0 Type: (867eb478) Directory

   ObjectHeader: e10001a8 (old version)

   HandleCount: 0  PointerCount: 40

   Directory Object: 00000000  Name: \

   111 symbolic links snapped through this directory

 

   Hash Address  Type          Name

   ---- -------  ----          ----

    00  e100d748 Directory    ArcName

    01  e1716030 Port          SeLsaCommandPort

    02  867b9910 Device        FatCdrom

    03  e100e458 Key           \REGISTRY

    05  e1819f68 Port          ThemeApiPort

    06  e17e2928 Port          XactSrvLpcPort

    09  e168b458 Directory     NLS

    10  e1008738 SymbolicLink  DosDevices

    13  e1566590 Port          SeRmCommandPort

    14  867b8650 Device        Dfs

        e1802f68 Port          LsaAuthenticationPort

        866c65e0 Event         LanmanServerAnnounceEvent

    16  e1566f38 Directory     Driver

    19  e100d670 Directory     Device

    20  e15d2328 Directory     Windows

    21  86646238 Event         SAM_SERVICE_STARTED

        e15ed0c0 Directory     Sessions

    22  e1004368 Directory     RPC Control

        e15e9c80 Port          SmApiPort

        867b9a28 Device        Fat

    23  e15d9900 Directory     BaseNamedObjects

        e10011d8 Directory     KernelObjects

    24  e156d4c0 Directory     FileSystem

        e1004510 Directory     GLOBAL??

    25  866269a8 WaitablePort  NLAPublicPort

    26  e1e161c8 Port          SmSsWinStationApiPort

        e10010f0 Directory     ObjectTypes

    27  e100a550 Directory     Security

        e1721c58 Port          ErrorLogPort

        e1951380 Port          FusApiPort

    31  e100a460 SymbolicLink  SystemRoot

        866b75e8 Device        Cdfs

    32  86557958 WaitablePort  NLAPrivatePort

        e10085f0 Directory     Callback

    33  86648ff0 Event         EFSInitEvent

        866c79a8 Event         SeLsaInitEvent

        8677b6c8 Event         UniqueSessionIdEvent

35 e15f02b0 Directory     KnownDlls

 

  

 

 

 

dd obptypedirectoryobject 对象类型目录

 

obptypedirectoryobject值向对象目录的根

单层目录，除一个目录节点外，其余都是叶节点

kd> dt !_object_directory e10010f0

 

kd> dd obptypedirectoryobject

80561974 e10010f0 e10001c0 00000000 00000001

80561984 00000000 00000000 00040001 00000000

80561994 80561994 80561994 00000000 867eb478

805619a4 00000000 00000000 00000000 00000000

805619b4 00000000 00000000 00000000 00000000

805619c4 805632d0 80574021 00000000 00000000

805619d4 867eb2a8 e1001ca0 00000000 00000000

805619e4 00000000 00000000 00000000 00000000

 

nt!_OBJECT_DIRECTORY

  +0x000 HashBuckets      : [37] 0xe10046a8 _OBJECT_DIRECTORY_ENTRY

  +0x094 Lock             : _EX_PUSH_LOCK

  +0x098 DeviceMap        : (null)

  +0x09c SessionId        : 0xffffffff

  +0x0a0 Reserved         : 0

  +0x0a2 SymbolicLinkUsageCount : 0

kd> dd e10010f0

e10010f0 e10046a8 e1005468 00000000 e157cb70

e1001100 00000000 e156c1b8 00000000 e100b7d8

e1001110 00000000 e100d638 e100b718 e100b7e8

e1001120 e155f530 00000000 00000000 00000000

e1001130 e155f558 00000000 e1005280 e1564118

e1001140 e1004678 e1565410 e1001088 00000000

e1001150 e100a608 00000000 e100c420 00000000

e1001160 e1001078 00000000 00000000 e155f0f0

kd> dt !_object_directory_entry e10046a8

nt!_OBJECT_DIRECTORY_ENTRY

  +0x000 ChainLink        : (null) 除一个目录节点外，其余都是叶节点

  +0x004 Object           : 0x867eb478 Void

kd> dt !_object_header 0x867eb478-0x18

nt!_OBJECT_HEADER

  +0x000 PointerCount     : 0n1

  +0x004 HandleCount      : 0n0

  +0x004 NextToFree       : (null)

  +0x008 Type             : 0x867eb648 _OBJECT_TYPE

  +0x00c NameInfoOffset   : 0x20 ' '

  +0x00d HandleInfoOffset : 0 ''

  +0x00e QuotaInfoOffset  : 0 ''

  +0x00f Flags            : 0x17 ''

  +0x010 ObjectCreateInfo : (null)

  +0x010 QuotaBlockCharged : (null)

  +0x014 SecurityDescriptor : (null)

  +0x018 Body             : _QUAD

 

kd> dt !_OBJECT_TYPE 0x867eb648

nt!_OBJECT_TYPE

  +0x000 Mutex            : _ERESOURCE

  +0x038 TypeList         : _LIST_ENTRY [ 0x867eb620 - 0x867b9e48 ]

  +0x040 Name             : _UNICODE_STRING "Type"

  +0x048 DefaultObject    : 0x80561960 Void

  +0x04c Index            : 1

  +0x050 TotalNumberOfObjects : 0x1f

  +0x054 TotalNumberOfHandles : 0

  +0x058 HighWaterNumberOfObjects : 0x1f

  +0x05c HighWaterNumberOfHandles : 0

  +0x060 TypeInfo         : _OBJECT_TYPE_INITIALIZER

  +0x0ac Key              : 0x546a624f

  +0x0b0 ObjectLocks      : [4] _ERESOURCE

 

 

 

 

 

kd> dt !_OBJECT_HEADER_NAME_INFO 0x867eb478-0x18-0x20

nt!_OBJECT_HEADER_NAME_INFO

  +0x000 Directory        : 0xe10010f0 _OBJECT_DIRECTORY

  +0x004 Name             : _UNICODE_STRING "Directory"

  +0x00c QueryReferences  : 1

 

 

kd>  dd obpobjecttypes
805618a0  867eb648 867eb478 867eb2a8 867eb0d8
805618b0  867b7e38 867b7c68 867b7a98 867b7398
805618c0  867b2bf8 867b2a28 867b2858 867b2688
805618d0  867b24b8 867b22e8 867b1040 867b1e70
805618e0  867b1ca0 867b1ad0 867b1738 867ae980
805618f0  867ea818 867ea648 867a1e70 867a1ca0
80561900  867a1ad0 867a1900 867a1730 867a1560
80561910  867e4490 867b9040 867b9e70 00000000

 

 

 

kd> !object \
Object: e10001c0  Type: (867eb478) Directory
    ObjectHeader: e10001a8 (old version)
    HandleCount: 0  PointerCount: 40
    Directory Object: 00000000  Name: \
    111 symbolic links snapped through this directory

    Hash Address  Type          Name
    ---- -------  ----          ----
     00  e100d748 Directory     ArcName
     01  e1716030 Port          SeLsaCommandPort
     02  867b9910 Device        FatCdrom
     03  e100e458 Key           \REGISTRY
     05  e1819f68 Port          ThemeApiPort
     06  e17e2928 Port          XactSrvLpcPort
     09  e168b458 Directory     NLS
     10  e1008738 SymbolicLink  DosDevices
     13  e1566590 Port          SeRmCommandPort
     14  867b8650 Device        Dfs
         e1802f68 Port          LsaAuthenticationPort
         866c65e0 Event         LanmanServerAnnounceEvent
     16  e1566f38 Directory     Driver
     19  e100d670 Directory     Device
     20  e15d2328 Directory     Windows
     21  86646238 Event         SAM_SERVICE_STARTED
         e15ed0c0 Directory     Sessions
     22  e1004368 Directory     RPC Control
         e15e9c80 Port          SmApiPort
         867b9a28 Device        Fat
     23  e15d9900 Directory     BaseNamedObjects
         e10011d8 Directory     KernelObjects
     24  e156d4c0 Directory     FileSystem
         e1004510 Directory     GLOBAL??
     25  866269a8 WaitablePort  NLAPublicPort
     26  e1e161c8 Port          SmSsWinStationApiPort
         e10010f0 Directory     ObjectTypes
     27  e100a550 Directory     Security
         e1721c58 Port          ErrorLogPort
         e1951380 Port          FusApiPort
     31  e100a460 SymbolicLink  SystemRoot
         866b75e8 Device        Cdfs
     32  86557958 WaitablePort  NLAPrivatePort
         e10085f0 Directory     Callback
     33  86648ff0 Event         EFSInitEvent
         866c79a8 Event         SeLsaInitEvent
         8677b6c8 Event         UniqueSessionIdEvent
     35  e15f02b0 Directory     KnownDlls
kd> !object e100d748
Object: e100d748  Type: (867eb478) Directory
    ObjectHeader: e100d730 (old version)
    HandleCount: 0  PointerCount: 7
    Directory Object: e10001c0  Name: ArcName

    Hash Address  Type          Name
    ---- -------  ----          ----
     00  e15dd9b8 SymbolicLink  multi(0)disk(0)rdisk(0)
         e15d8220 SymbolicLink  multi(0)disk(0)rdisk(0)partition(3)
     03  e1011be0 SymbolicLink  multi(0)disk(0)rdisk(0)partition(4)
     30  e156d8b8 SymbolicLink  multi(0)disk(0)rdisk(0)partition(1)
     33  e1602340 SymbolicLink  multi(0)disk(0)fdisk(0)
         e15d7220 SymbolicLink  multi(0)disk(0)rdisk(0)partition(2)
kd> dt _object_header e100d730
nt!_OBJECT_HEADER
   +0x000 PointerCount     : 0n7
   +0x004 HandleCount      : 0n0
   +0x004 NextToFree       : (null)
   +0x008 Type             : 0x867eb478 _OBJECT_TYPE
   +0x00c NameInfoOffset   : 0x10 ''
   +0x00d HandleInfoOffset : 0 ''
   +0x00e QuotaInfoOffset  : 0 ''
   +0x00f Flags            : 0x32 '2'
   +0x010 ObjectCreateInfo : 0x00000001 _OBJECT_CREATE_INFORMATION
   +0x010 QuotaBlockCharged : 0x00000001 Void
   +0x014 SecurityDescriptor : 0xe1000102 Void
   +0x018 Body             : _QUAD

 

 

 

e100d748 对应obpobjecttypes[1] 表示 Type: (867eb478) Directory

而Type: (867eb478) Directory 的TYPE对应的是obpobjecttypes[0] （类型为TYPE对象）

 

 

whowho
关注
机器学习笔记 - windows10+tensorflow2.7安装object detection API
学以致用 知行合一
01-04 1185
windows10 64位、tensorflow-gpu 2.7.0、python 3.7.11环境下安装object detection api with tensorflow2。 TensorFlow 对象检测 API 是一个构建在 TensorFlow 之上的开源框架，可以轻松构建、训练和部署对象检测模型。 建议创建一个新的独立的python环境，用之前安装过很多东西的环境一是慢，二是可能会各种冲突，即使安装成功也未必能运行，这里我是创建了一个新的3.7.11的环境。
Windows Powershell笔记之Windows系统管理进阶
最新发布
K
11-14 600
Windows PowerShell 管理进程、服务、注册表、文件权限与安全。在 Windows 系统管理中，PowerShell 提供了丰富的功能，便于管理员对进程、服务、注册表、文件权限与安全性进行管理。本章将介绍这些操作的关键命令及示例代码。
自己笔记-创建对象的过程
whowho的专栏
04-08 891
P142   1、ExpInitializeTimerImplementaiton 2、填充OBJECT-TYPE内中的 TYPEINFO 对应的类型为OBJECT—TYPE-INITIALIZER 3、ObCreateobjectType  在obpobjecttypes 中填充该类型，要创建的CreateobjectType 的类型为TYPE类型，所以起对应的TYPE应该也类型对象就是
对象管理---2
For Geek
05-24 549
IopCreateObjectTypes 以I/O子系统为例，其初始化过程中创建了Adapter，Controller，Device，Driver，IoCompletion，File等对象类型。 BOOLEAN INIT_FUNCTION NTAPI IopCreateObjectTypes(VOID) { OBJECT_TYPE_INITIALIZER ObjectTypeInitial...
Windows对象(Object)结构--关于Win7的补充
0xC0000005
03-09 2142
Windows对象(Object)结构--关于Win7的补充续 《Windows对象(Object)结构》自Window 7开始，_OBJECT_HEADER及其之前的一些结构发生了变化。首先来对比下Win7与XP的_OBJECT_HEADER：[Windows 7]0: kd> dt _object_headernt!_OBJECT_HEADER   +0x0
Windows对象 (Object) 结构
weixin_34389926的博客
07-26 229
Windows系统的各种资源以对象（Object）的形式来组织，例如File Object, Driver Object, Device Object等等，但实际上这些所谓的“对象”在系统的对象管理器（Object Manager）看来只是完整对象的一个部分——对象实体（Object Body）。Windows XP中有31种不同类型的对象，Object Body反映了某一类...
Windows对象(Object)结构
quasiceo
11-10 694
Windows对象(Object)结构     Windows系统的各种资源以对象（Object）的形式来组织，例如File Object, Driver Object, Device Object等等，但实际上这些所谓的"对象"在系统的对象管理器（Object Manager）看来只是完整对象的一个部分----对象实体（Object Body）。Windows XP中有31种不同类型的
Windows对象 (Object) 的组织
08-23 1388
在《Windows对象(Object)结构》一文中简单的描述了Object的结构，其中一些结构的细节地方尚未提及。这篇文章中，主要讨论对象管理器（Object Manager）如何组织系统中的各种对象。与文件系统管理文件的方法类似，Windows对象管理器将系统中的对象按照树状结构进行存储。可以使用www.sysinternals.com的winobj来观察系统中的对象。既然系统以树状结构
Windows编程笔记1
08-01
这个“Windows编程笔记1”可能是针对初学者或希望深入理解MFC概念的人准备的资料。MFC是微软为简化Windows API接口而设计的，它将复杂的WinAPI函数封装在易于使用的C++类中。 首先，让我们详细了解一下提到的几个...
WINDOWS编译object c 的工具库
11-04
WINDOWS编译object c 的工具库
Windows Powershell笔记之文件系统操作
K
11-13 823
PowerShell 提供了强大的命令用于文件系统管理，包括文件和文件夹的创建、读取、删除、复制、移动等操作。本章将详细介绍 PowerShell 在文件系统操作中的常见命令，并通过实例帮助理解其用法。
Windows Powershell笔记之获取操作系统信息
K
11-13 842
PowerShell 提供了多种命令用于获取系统硬件、操作系统、网络和用户等信息，非常适用于系统管理和监控。本章将详细介绍如何通过 PowerShell 命令获取常见的系统信息，并提供示例和详解。
探索Windows内核系列——Object的结构
sunjiaoya的博客
01-16 981
探索Windows内核系列——Object的结构
MFC Object和Windows Object的关系
囧小平-云栖隐者
10-16 591
<br />本文来自编程入门网：http://www.bianceng.cn/Programming/vc/201003/16099.htm<br /> <br /> <br />MFC中最重要的封装是对Win32 API的封装，因此，理解Windows Object和MFC Object (C++对象，一个C++类的实例)之间的关系是理解MFC的关键之一。所谓Windows Object（Windows对象）是Win32下用句柄表示的Windows操作系统对象；所谓MFC Object (MFC对象)是C
遍历Windows内核ObjectType
时空之中的灵魂
07-18 1092
遍历Windows内核ObjectType
Window 与 Object的奇妙联系
甘焕的博客
08-16 1343
有这样一道Javascript面试题，问输出结果是什么及原因，如下:Object.prototype.username = 'yiifaa'; alert(username);大部分的人都可能是认为是undefined，因为没有在作用域中声明username变量，但结果其实是yiifaa，原因是username是附加在window作用域上的，而window又是一个Object的一个实例，所以，上面的
遍历windows驱动遍历对象目录的对象
03-05 2050
驱动都存在 \\Driver或者\\FileSystem目录对象里我们只需要遍历这两个目录就可以遍历windows所有驱动 知识点 \\Driver\\FileSystem(dt_OBJECT_DIRECOTRY)都属于ObpDirectoryObjectType(window内核全局变量)对象 其他对象全局变量可以参考作者:潘爱民书名:wind...
Gloomy对Windows内核的分析(对象管理器)
峥嵘岁月
01-31 5235
Inside WINDOWS NT Object Manager=====================================                                                                                  Заточенное само в себе                         
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值