-
-
[原创]关于Ring3解锁文件句柄的一些总结吧……
-
发表于: 2013-6-10 23:35
-
在看Windows内核原理与实现的时候，看到进程句柄表这小节，突然想起，很久本打算弄个Ring3解锁文件的东西，后来不了了之。既然想起来，那就翻出来把它做完……
书中对于进程句柄的描述：当一个进程利用名称创建或者打开一个对象（Object）时,将获得一个句柄，该句柄所指向所创建或者打开的对象。对象管理器中的对象或者执行体对象，位于系统空间中，所以在进程空间中不能通过地址来引用(对象地址值都大于0x80000000)。在windows中，句柄仅在进程范围内有效。一个进程中的句柄传递给另一个进程后，句柄值不再有效。
在windows中每一个用户进程都有一个自己的句柄表，句柄表结构为：HANDLE_TABLE，每一个句柄项结构为：HANDLE_TABLE_ENTRY(具体结构定义，请参见相关书本)。
除了用户进程的句柄表外，还有一个内核句柄表，即：系统空间中的全局句柄表。在WRK中即变量：ObpKernelHandleTable，也是System进程的句柄表(用XT看了一下，里面也有进程对象和线程对象)。
说到进程，其实进程惟一ID的分配也是通过句柄表实现的，在一个全局句柄表PspCidTable中穿件的句柄索引值，也称为CID句柄表，该表中每一个句柄项都包含了进程或线程的对象地址(以上提及进程或线程对象地址的地方应该可以用来检测隐藏进程
)。
全局句柄表和用户进程的句柄表通过对象引用计数实现对象引用的一致性。当用户进程引用某个对象时，全局句柄表对应的该对象的引用计数加一，当用户进程不使用该对象时即使解除引用，即全局引用计数减一( 在内核代码中，我们经常看到ObReferenceObjectByHandle 和 ObDereferenceObject成对出现)。当引用计数为0时，当前对象从全局句柄表和局部句柄表中移除，相关资源释放。
转入正题：Ring3解锁文件引用过程：提升进程权限，获取系统句柄表，拷贝，每一个进程中相同访问权限的文件对象(FileObject)，解析文件对象名，查找需要解锁的文件，执行解锁操作。
(1)提升进程权限(古老的东西)
//打开进程权限令牌
result=::OpenProcessToken(::GetCurrentProcess(),TOKEN_QUERY|TOKEN_ADJUST_PRIVILEGES,&hTokenHandle);
if(result){
result=::LookupPrivilegeValueW(NULL,SE_DEBUG_NAME,&TokenPrivileges.Privileges[0].Luid);
if(result){
TokenPrivileges.PrivilegeCount = 1;
TokenPrivileges.Privileges[0].Attributes = SE_PRIVILEGE_ENABLED;
//提升进程权限
result=::AdjustTokenPrivileges(hTokenHandle,FALSE,&TokenPrivileges,0,NULL,0);
}
}
pInfo = (ULONG)HeapAlloc(hHeap,HEAP_GENERATE_EXCEPTIONS,0x1000);
//第一次调用获取所需空间大小
status = NtQuerySystemInformation(InfoClass,(PVOID)pInfo,0x1000,&ReturnBytes);
if(STATUS_INFO_LENGTH_MISMATCH == status)
{
HeapFree(hHeap,HEAP_GENERATE_EXCEPTIONS,(PVOID)pInfo);
while(status != STATUS_SUCCESS)//多次调用
{
pInfo = (ULONG)HeapAlloc(hHeap,HEAP_GENERATE_EXCEPTIONS,ReturnBytes);
//继续调用看当前提交空间是否足够(可能是系统句柄表大小会变)
status = NtQuerySystemInformation(InfoClass,(PVOID)pInfo,ReturnBytes,&ReturnBytes);
if(status == STATUS_INFO_LENGTH_MISMATCH)
{
HeapFree(hHeap,HEAP_GENERATE_EXCEPTIONS,(PVOID)pInfo);
}
}
}
|
|
|---|---|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
好吧..我当时是用VB6写的，不支持多线程。。所以苦恼了半天
|
|
|
|
|
|
|
|
|
驱动当然强大，这个只是Ring3下的小玩具而已
|
|
|
|
|
|
结束不了的句柄，其实只要再次调用SetHandleInformation函数，把保护属性去掉即可。
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
我没说我要解锁啊
 只是说查询句柄时遇到的这些个细节问题挺麻烦的 不过还真没想过你说的方法，没看明白，加过滤驱动删什么？
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
