四。目录对象结构(ObpLookupDirectoryEntry、ObpLookupObjectName) (二)

最新推荐文章于 2022-10-11 18:46:50 发布
最新推荐文章于 2022-10-11 18:46:50 发布
阅读量4.6k 收藏 2
点赞数
文章标签： object attributes null path reference access
四。目录对象结构(ObpLookupDirectoryEntry、ObpLookupObjectName) (二)
2010年05月12日 星期三 10:11

看过了查找指定目录下是否有指定名称的对象的函数后
再来看看一个功能更强大的函数ObpLookupObjectName
它可以根据路径来查找对象, 路径里还可以包含符号链接等。。。总之很复杂很强大。。。

NTSTATUS
ObpLookupObjectName (
    IN HANDLE RootDirectoryHandle OPTIONAL,       // 父目录句柄
    IN PUNICODE_STRING ObjectName,                // 路径
    IN ULONG Attributes,                          // 属性
    IN POBJECT_TYPE ObjectType,                   // 对象类型
    IN KPROCESSOR_MODE AccessMode,               
    IN PVOID ParseContext OPTIONAL,               // 传递给_OBJECT_TYPE_INITIALIZER.ParseProcedure 的参数
    IN PSECURITY_QUALITY_OF_SERVICE SecurityQos OPTIONAL, // 不管....
    IN PVOID InsertObject OPTIONAL,
    IN OUT PACCESS_STATE AccessState,
    OUT POBP_LOOKUP_CONTEXT LookupContext,        // 查询对象使用的结构, 查询详细信息通过它返回
    OUT PVOID *FoundObject                        // 找到的对象体
    ) {
    .....
   
    // 初始化
    ObpInitializeLookupContext(LookupContext);
    *FoundObject = NULL;
    Status = STATUS_SUCCESS;
    Object = NULL;
   
    // 全局的ObpCaseInsensitive 和 对象类型决定了对象是否区分大小写
    if ( ObpCaseInsensitive ) {
        if ( (ObjectType == NULL) ||
             (ObjectType->TypeInfo.CaseInsensitive)
           ) {
            Attributes |= OBJ_CASE_INSENSITIVE;
        }
    }
   
    // 指定了OBJ_FORCE_ACCESS_CHECK属性后要强制检测参数, 所以AccessCheckMode设置为UserMode
    if (Attributes & OBJ_FORCE_ACCESS_CHECK) {
        AccessCheckMode = UserMode;
    } else {
        AccessCheckMode = AccessMode;
    }
   
    if (ARGUMENT_PRESENT( RootDirectoryHandle )) {
        ....
        // 这里处理RootDirectoryHandle不为空的情况, 先略过
    }
    else {
        // 没有指定RootDirectoryHandle, 上级目录是根目录
        RootDirectory = ObpRootDirectoryObject;
       
        // 以为没有指定上级目录, 对象名要合法必须以 '/' 开头
        if ((ObjectName->Length == 0) ||
            (ObjectName->Buffer == NULL) ||
            (*(ObjectName->Buffer) != OBJ_NAME_PATH_SEPARATOR)) {
            return( STATUS_OBJECT_PATH_SYNTAX_BAD );
        }
       
        if (ObjectName->Length == sizeof( OBJ_NAME_PATH_SEPARATOR )) {
            // 对象名是 '/' 表示打开根目录, 暂时略过
            ......
        }
        else {
            // 如果不是打开根目录或指定了上级目录, 这里不会成立的, 略...
ParseFromRoot：
            if (DeviceMap != NULL) {
                ObfDereferenceDeviceMap(DeviceMap);
                DeviceMap = NULL;
            }
           
            // 如果ObjectName->Buffer 是以8字节为分配粒度的
            // 应该检测对象名是否在 /??/ 目录下, 我们需要重定位它到 /GLOBAL??/ 目录
            // 不过为什么要根据分配力度决定是否检测??????
            if (!((ULONG_PTR)(ObjectName->Buffer) & (sizeof(ULONGLONG)-1))) {
                // 如果对象目录是 /??/
                if ((ObjectName->Length >= ObpDosDevicesShortName.Length) &&
                    (*(PULONGLONG)(ObjectName->Buffer) == ObpDosDevicesShortNamePrefix.Alignment.QuadPart)) {
                   
                    // 获取设备表
                    if ((DeviceMap = ObpReferenceDeviceMap()) != NULL) {
                        if (DeviceMap->DosDevicesDirectory != NULL ) {
                           
                            // 设置父目录是根目录, 当前目录是 /GLOBAL??/ 更新对象名 开始解析
                            ParentDirectory = RootDirectory;
                            Directory = DeviceMap->DosDevicesDirectory;
                            RemainingName = *ObjectName;
                            RemainingName.Buffer += (ObpDosDevicesShortName.Length / sizeof( WCHAR ));
                            RemainingName.Length = (USHORT)(RemainingName.Length - ObpDosDevicesShortName.Length);

                            goto quickStart;

                        }
                    }
                }
                // 对象名是/?? 说明它打开的是GLOBAL?? 目录
                else if ((ObjectName->Length == ObpDosDevicesShortName.Length - sizeof( WCHAR )) &&
                         (*(PULONG)(ObjectName->Buffer) == ObpDosDevicesShortNameRoot.Alignment.LowPart) &&
                         (*((PWCHAR)(ObjectName->Buffer)+2) == (WCHAR)(ObpDosDevicesShortNameRoot.Alignment.HighPart))) {
                   
                    // 我们直接返回 GLOBAL?? 目录给用户就可以了
                    if ((DeviceMap = ObpReferenceDeviceMap()) != NULL) {
                        if (DeviceMap->DosDevicesDirectory != NULL ) {
                            Status = ObReferenceObjectByPointer( DeviceMap->DosDevicesDirectory,
                                                                 0,
                                                                 ObjectType,
                                                                 AccessMode );
                            if (NT_SUCCESS( Status )) {
                                *FoundObject = DeviceMap->DosDevicesDirectory;
                            }
                            ObfDereferenceDeviceMap(DeviceMap);
                            return( Status );
                        }
                    }
                }
            } // /??/到/GLOBAL??/ 的转换处理完毕
        }
    } // 没有指定RootDirectoryHandle, 上级目录是根目录 处理完毕
   
    // 晕了吧... 幸好WRK在这里有个注释
    //
    // At this point either (在这里会有三种情况)
    //
    // (这个没看懂....)
    // the user specified a directory that is not the object
    // type directory and got reparsed back to the root directory
    //
    // (用户指定了父目录, 并且给定了一个路径用作查找)
    // the user specified the object type directory and gave us
    // a name to actually look up
    //
    // (用户没有指定父目录, 并且给定的路径不是以/??/开头的。)
    // (以/??/开头的路径会直接跳到下面的quickStart, 或直接返回)
    // the user did not specify a search directory (default
    // to root object directory) and if the name did start off
    // with the dos device prefix we've munged outselves back to
    // it to the dos device directory for the process
    //
   
    // 第一次是执行到这里时ReparsedSymbolicLink一定为FALSE
    // 之所以会再到这里是因为下面的某些代码使用了goto ParseFromRoot ....烂风格
    if( ReparsedSymbolicLink == FALSE ) {
        Reparse = TRUE;
        MaxReparse = OBJ_MAX_REPARSE_ATTEMPTS;
    }
   
    while(Reparse) {
       // 这才是这个函数的精髓
       ......
    }
   
    // 一些资源释放
    return Status;
}

///华丽的分割线//

ObpLookupObjectName函数的逻辑太复杂了, 里面又goto来goto去的很乱, 所以我们把解析的部分提取出来。
while 这个循环里面的东西才是我们想学的, 下面仔细看看这个循环

        while (TRUE) {
            Object = NULL;
            // /aaaa/bbbbb/cccc
            // 路径起始为 '/' 跳过这个字符 变为 aaaa/bbbbb/cccc
            if ( (RemainingName.Length != 0) &&
                 (*(RemainingName.Buffer) == OBJ_NAME_PATH_SEPARATOR) ) {

                RemainingName.Buffer++;
                RemainingName.Length -= sizeof( OBJ_NAME_PATH_SEPARATOR );
            }
           
            // 分离出第一个对象名
            // ComponentName指向aaaa RemainingName指向/bbbbb/cccc
            ComponentName = RemainingName;
            while (RemainingName.Length != 0) {
                if (*(RemainingName.Buffer) == OBJ_NAME_PATH_SEPARATOR) {
                    break;
                }
                RemainingName.Buffer++;
                RemainingName.Length -= sizeof( OBJ_NAME_PATH_SEPARATOR );
            }
            ComponentName.Length = (USHORT)(ComponentName.Length - RemainingName.Length);
           
            // 非法文件名
            if (ComponentName.Length == 0) {
                Status = STATUS_OBJECT_NAME_INVALID;
                break;
            }
           
            // 如果当前文件名为空说明是根目录
            if ( Directory == NULL ) {
                Directory = RootDirectory;
            }
           
            if ( (AccessCheckMode != KernelMode) &&
                 !(AccessState->Flags & TOKEN_HAS_TRAVERSE_PRIVILEGE) ) {
               // 略过权限检测
               ......
            }
          
          
            // 这里注释写的比较清楚了
            if (RemainingName.Length == 0) {

                //
                // If we are searching the last name, take an additional reference
                // to the directory. We need this to either insert a new object into
                // this directory, or to check for traverse access if an insert object
                // is not specified. If not referenced the directory could go
                // away since ObpLookupDirectoryEntry releases the existing reference
                //
                if (ReferencedDirectory == NULL) {

                    ObReferenceObject( Directory );
                    ReferencedDirectory = Directory;
                }

                if (InsertObject != NULL) {
                    //
                    // We lock the context exclusively before the lookup if we have an object
                    // to insert. An insertion is likely to occur after this lookup if it fails,
                    // so we need to protect this directory to be changed until the
                    // ObpInsertDirectoryEntry call
                    //
   
                    ObpLockLookupContext( LookupContext, Directory );
                }
            }
           
            // 从Directory(当前目录)里查找名字为ComponentName的对象
            Object = ObpLookupDirectoryEntry( Directory,
                                              &ComponentName,
                                              Attributes,
                                              InsertObject == NULL ? TRUE : FALSE,
                                              LookupContext );
          
           if (!Object) {
               // 如果对象不存在, 并且用户指定了InsertObject, 这里面把InsertObject插入到目录里
               // 注意只有当前已经没有剩余路径时才插入
               // 之后直接退出 代码很简单 不过这里的逻辑已经够复杂了   略过
               .......
           }
          
           
ReparseObject:
            // 找到了路径中的对象aaaa 获得它的ParsePrecedure
            ObjectHeader = OBJECT_TO_OBJECT_HEADER( Object );
            ParseProcedure = ObjectHeader->Type->TypeInfo.ParseProcedure;
           
            if (ParseProcedure && (!InsertObject || (ParseProcedure == ObpParseSymbolicLink))) {
                // 参考一下ObInitSystem可以发现其实目录对象是没有ParseProcedure的
                // 如果存在ParseProcedure并且不需要插入对象 或者
                // 存在ParseProcedure并且当前对象是一个符号链接
                // 直接调用ParsePrecedure并把剩余的路径传递进去 然后就结束了
                // 略过
                ......
            }
            else {
                // 如果当前对象是目录就会到这里
               
                // 已经到了路径的尽头, 说明已经解析完成了, 返回当前的Object
                if (RemainingName.Length == 0) {
                    if (!InsertObject) {
                        if ( (AccessCheckMode != KernelMode) &&
                             !(AccessState->Flags & TOKEN_HAS_TRAVERSE_PRIVILEGE) ) {
                            // 权限检测
                            .....
                        }
                        Status = ObReferenceObjectByPointer( Object,
                                                             0,
                                                             ObjectType,
                                                             AccessMode );
                        if (!NT_SUCCESS( Status )) {
                            Object = NULL;
                        }
                    }
                    break;

                } else {
                    // 如果当前对象是个目录, 继续循环查找
                    if (ObjectHeader->Type == ObpDirectoryObjectType) {
                        if (ReferencedParentDirectory != NULL) {
                            ObDereferenceObject( ReferencedParentDirectory );
                        }
                        ReferencedParentDirectory = ReferencedDirectory;
                        ReferencedDirectory = NULL;
                        ParentDirectory = Directory;
                        Directory = (POBJECT_DIRECTORY)Object;
                    } else {
                    // 不是目录就出错
                        Status = STATUS_OBJECT_TYPE_MISMATCH;
                        Object = NULL;
                        break;
                    }
                }
            }
        }

到这里while循环也结束了。
总结一下ObpLookupObjectName函数的功能
1。根据指定路径搜索对象, 可以处理开头为/??/、包含符号链接等特殊路径
2。若路径中的某个对象不是目录, 则调用它的ParseProcedure并把剩余路径名传递进去 (注册表、文件路径的解析就是这方法)
3。InsertObject参数可以用来在目录中插入一个对象, 但全路径必须都是目录, 最后一个对象是InsertObject插入后的名字。(如 aaa/bbb/ccc aaa、bbb都是目录对象 ccc不存在, 若指定了InsertObject, 这个对象便会插入到aaa/bbb/中, 名字叫ccc)

 

wzsy
关注
  • 0
    点赞
  • 踩
  • 2
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
Windows 内核情景分析--采用开源代码ReactOS (上册) part01
03-28
4.1 对象与对象目录 136 4.2 对象类型 148 4.3 句柄和句柄表 162 4.4 对象的创建 169 4.5 几个常用的内核函数 179 4.5.1 ObReferenceObjectByHandle() 179 4.5.2 ObReferenceObjectByPointer() 187 4.5.3 ...
WINDOWS OBJECT笔记
whowho的专栏
04-07 1165
dd obpRootDirectoryObject kd> dd obpRootDirectoryObject 80561978 e10001c0 00000000 00000001 00000000 80561988 00000000 00040001 00000000 80561994 80561998 80561994 00000000 867eb478 00000000 8056
四。目录对象结构(ObpLookupDirectoryEntry、ObpLookupObjectName) (一)
求索
02-16 1922
四。目录对象结构(ObpLookupDirectoryEntry、ObpLookupObjectName) (一)
[Windows内核源码分析5] 引导过程(对象管理器初始化在Phase1部分的分析)
最新发布
輚至消亡
10-11 694
其内部执行的操作很简单，一个是创建一个目录对象, 接着将该目录对象插入到全局名字空间中。**目录对象并创建了3个指向它的符号链接。如果存在但是并非是我们需要定位的对象类型，就不能重复插入，确认具体的原因后返回。如果定位到了该对象, 并且是我们需要插入的对象类型，首先需要做一些安全方面的工作。所以其内部创建了对应类型的对象后，返回指代该对象的句柄。成功创建了该对象后, 为其制定DACL并再其中加入了ACE规则。来通过句柄引用了这个对象, 获取指向该对象的指针。为该对象在进程中创建句柄表项，并获取该句柄。
遍历windows驱动遍历对象目录的对象
03-05 1972
驱动都存在 \\Driver或者\\FileSystem目录对象里我们只需要遍历这两个目录就可以遍历windows所有驱动 知识点 \\Driver\\FileSystem(dt_OBJECT_DIRECOTRY)都属于ObpDirectoryObjectType(window内核全局变量)对象 其他对象全局变量可以参考作者:潘爱民书名:wind...
【Windows内核原理与实现】读书笔记（三）
pwpal的专栏
12-10 339
Windows内核中对象管理 Windows对象管理器的基本设计意图是： 为执行体的数据结构提供一种统一又可扩展的定义和控制机制。 提供统一的安全访问机制。 在无需修改已有系统代码的情况下，加入新的对象类型。 提供一组标准的API来对对象执行各种操作。 提供一种命名机制，与文件系统的命名机制集成在一起。 每一个对象都由两部分构成：对象头和对象体，所有对象的对象
ObReferenceObjectByName函数，通过驱动程序得到设备对象
anna的专栏
10-23 1488
一、由于ObReferenceObjectByName没有文档化，故在使用前先做声明： #ifdef __cplusplus extern "C" { #endif #include NTKERNELAPI NTSTATUS ObReferenceObjectByName(     IN PUNICODE_STRING ObjectName,     IN ULONG
自己笔记-创建对象的过程
whowho的专栏
04-08 862
P142   1、ExpInitializeTimerImplementaiton 2、填充OBJECT-TYPE内中的 TYPEINFO 对应的类型为OBJECT—TYPE-INITIALIZER 3、ObCreateobjectType  在obpobjecttypes 中填充该类型，要创建的CreateobjectType 的类型为TYPE类型，所以起对应的TYPE应该也类型对象就是
Gloomy对Windows内核的分析(对象管理器)
峥嵘岁月
01-31 5168
Inside WINDOWS NT Object Manager=====================================                                                                                  Заточенное само в себе                         
一。对象管理第一次初始化(ObInitSystem) + 类型对象的创建(ObCreateObjectType)
求索
02-16 3009
一。对象管理第一次初始化(ObInitSystem) + 类型对象的创建(ObCreateObjectType)
windows内核驱动读写文件
10-11
windows内核驱动条件下文件的创建、读、写等功能实现源码。适用于驱动调试和运行观察的日志打印输出，比Windbg和reaceview更方便。
Windows内核情景分析上-采用开源代码ReactOS（上册）高清完整.pdf版
04-22
用了一年时间认真的看了一遍，真是经典，Windows内核方面的入门书籍
对象管理---2
For Geek
05-24 502
IopCreateObjectTypes 以I/O子系统为例，其初始化过程中创建了Adapter，Controller，Device，Driver，IoCompletion，File等对象类型。 BOOLEAN INIT_FUNCTION NTAPI IopCreateObjectTypes(VOID) { OBJECT_TYPE_INITIALIZER ObjectTypeInitial...
28.探秘_OBJECT_TYPE结构
qq_35129925的博客
08-03 1398
首先，每个进程/线程对象上面都有个_OBJECT_HEADER结构，而句柄结构在这个结构的后面，64位下这个结构大小为0X30 以进程结构体举例： nt!_OBJECT_HEADER +0x000 PointerCount : Int8B +0x008 HandleCount : Int8B +0x008 NextToFree : Ptr64 Void +0x010 Lock : _EX_PUSH_LOCK +0x018 T
wdm 驱动 win7 无法加载_详解Windows渗透测试工具Mimikatz的内核驱动
weixin_39888080的博客
12-10 1472
一、概述Mimikatz通过其中包含的Mimidrv驱动程序，提供了利用内核模式的功能。Mimidrv是已经签名的Windows驱动模型(WDM)内核模式软件驱动程序，在相关命令前加上感叹号(!)即可与标准Mimikatz可执行文件共同使用。Mimidrv没有相应文档，并且很少被人使用，但它却提供了一个非常值得关注的方式，让我们可以在ring 0执行一些操作。本文详细分析Mimidrv...
玩了下windbg插件
Returns' Station
03-09 2337
最近做一些自动化分析dump的东西，用windbg插件实现~mark一下~ 用WinDDK\7600.16385.1\Debuggers\sdk\samples\exts 编译~~ ULONG64 __stdcall FindObjectByName(char* szObjectName,ULONG64 ulRoot) { /* 哈希表 kd> dt _OBJECT_DIRECTO
windows内核开发学习笔记四十二：内核对象管理目录及接口
jyl_sh的专栏
07-04 670
windows内部维护了一个对象层次目录（即系统全局名字空间），其根目录对象是由全局变量ObpRootDirectoryObject来定义的。在根目录之下，系统内置了一些子目录，通过查询NtCreateDirectoryObject函数可以看到CallBack、ArcName、Device、Driver、FileSystem、KernelObjects、ObjectTypes、GLOBAL??和Security子目录的创建过程，下面的是创建Driver子目录的代码： //创建driver目...
[转载]关于驱动中的ObReferenceObjectByName 和 IoGetDeviceObjectPointer
lerroy312的专栏
08-23 1240
原文：http://www.boxcounter.org/?action=show&id=13 前些阵子学写过滤驱动，遇到个问题，在网上找到了相应的资料，Blog下来。 我写的程序需要挂在文件系统上，我看《Programming the Windows Driver Model》中用IoGetDeviceObjectPointer来获取要挂载的驱动对象，于是我也采用了相同的方法，但是却发现始终
驱动文件和注册表操作初始化路径字符串问题
mit2010的专栏
09-11 1280
今天学习驱动操作注册表，遇到一个小问题，就是操作注册表时的路径问题。驱动操作文件或者注册表时，需要填写绝对路径。所以，初始化字符串的时候，需要这样初始化：RtlInitUnicodeString(&RegKeyPath, L\\Registry\\Machine\\Software\\Microsoft\\Windows\\CurrentVersion\\Uninstall\\); //注意最
共享 Windows 磁盘给 Linux 机器
hongjun_han的专栏
07-13 1206
共享 Windows 磁盘给 Linux 机器一种给 UNIX 机器用的 SMB client 程序被包含在 Samba 发行套件之中.它提供一种在命令列下的像ftp的界面. 想要看在给定的主机上有哪些共享可取得, 执行: --------------------------------------------------------------------------------    /usr

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值