1. 首页
  2. 文章中心
  3. Windows文件过滤驱动

Windows对象 (Object) 结构

66 阅读 0 评论
我是靠谱客的博主 彪壮火龙果，最近开发中收集的这篇文章主要介绍Windows对象 (Object) 结构，觉得挺不错的，现在分享给大家，希望可以做个参考。

概述

有一篇介绍 《Windows对象 (Object) 结构》的文章 因为有太多的转载信息 不知道真实的出处了。 原文作者看到的话给了连接 我直接链接过去。


Windows系统的各种资源以对象（Object）的形式来组织，例如File Object, Driver Object, Device Object等等，但实际上这些所谓的“对象”在系统的对象管理器（Object Manager）看来只是完整对象的一个部分——对象实体（Object Body）。Windows XP中有31种不同类型的对象，Object Body反映了某一类型对象的特征信息，例如，文件对象使用FILE_OBJECT结构描述、驱动对象使用DRIVER_OBJECT结构描述、 DEVICE_OBJECT用于描述设备对象等等。而各种Object的共有的信息（例如，对象类型、对象的引用计数、句柄数等信息）保存在 OBJECT_HEADER与其他的几个结构中。换而言之，在对象管理器内部，不同类型的对象具有相同的Object Header，但Object Body部分却是不同的。

先放上一张Windows Object完整的结构图，其中OBJECT_HEADER取自Windows XP SP2 英文版。

         +----------------------------------------------------------------+
+------->| ( OBJECT_HEADER_QUOTA_INFO )                                   |
|  +---->| ( OBJECT_HEADER_HANDLE_INFO )                                  |
|  |  +->| ( OBJECT_HEADER_NAME_INFO )                                    |
|  |  |  | ( OBJECT_HEADER_CREATOR_INFO )                                 |
|  |  |  +------------------------[ Object Header ]-----------------------+
|  |  |  | nt!_OBJECT_HEADER                                              |
|  |  |  |   +0x000 PointerCount     : Int4B                              |
|  |  |  |   +0x004 HandleCount      : Int4B                              |
|  |  |  |   +0x004 NextToFree       : Ptr32 Void                         |
|  |  |  |   +0x008 Type             : Ptr32 _OBJECT_TYPE                 |
|  |  +--|   +0x00c NameInfoOffset   : UChar                              |
|  +-----|   +0x00d HandleInfoOffset : UChar                              |
+--------|   +0x00e QuotaInfoOffset  : UChar                              |
         |   +0x00f Flags            : UChar                              |
         |   +0x010 ObjectCreateInfo : Ptr32 _OBJECT_CREATE_INFORMATION   |
         |   +0x010 QuotaBlockCharged : Ptr32 Void                        |
         |   +0x014 SecurityDescriptor : Ptr32 Void                       |
         |   +0x018 Body             : _QUAD                              |
         +-------------------------[ Object Body ]------------------------+
         | OBJECT_DIRECTORY, DRIVER_OBJECT, DEVICE_OBJECT, FILE_OBJECT... |
         +----------------------------------------------------------------+

一个对象由三部分组成，在Object Header之前是一段变长的区域，由四个独立的结构体组成：

typedef struct _OBJECT_HEADER_QUOTA_INFO {
    ULONG PagedPoolCharge;
    ULONG NonPagedPoolCharge;
    ULONG SecurityDescriptorCharge;
    PEPROCESS ExclusiveProcess;
#ifdef _WIN64
    ULONG64  Reserved;   // Win64 requires these structures to be 16 byte aligned.
#endif
} OBJECT_HEADER_QUOTA_INFO, *POBJECT_HEADER_QUOTA_INFO;
typedef struct _OBJECT_HEADER_HANDLE_INFO {
    union {
        POBJECT_HANDLE_COUNT_DATABASE HandleCountDataBase;
        OBJECT_HANDLE_COUNT_ENTRY SingleEntry;
    };
} OBJECT_HEADER_HANDLE_INFO, *POBJECT_HEADER_HANDLE_INFO;
// begin_ntosp
typedef struct _OBJECT_HEADER_NAME_INFO {
    POBJECT_DIRECTORY Directory;
    UNICODE_STRING Name;
    ULONG QueryReferences;
#if DBG
    ULONG Reserved2;
    LONG DbgDereferenceCount;
#ifdef _WIN64
    ULONG64  Reserved3;   // Win64 requires these structures to be 16 byte aligned.
#endif
#endif
} OBJECT_HEADER_NAME_INFO, *POBJECT_HEADER_NAME_INFO;
// end_ntosp
typedef struct _OBJECT_HEADER_CREATOR_INFO {
    LIST_ENTRY TypeList;
    HANDLE CreatorUniqueProcess;
    USHORT CreatorBackTraceIndex;
    USHORT Reserved;
} OBJECT_HEADER_CREATOR_INFO, *POBJECT_HEADER_CREATOR_INFO;

一个对象可以包含全部四个结构，也可能只包含其中的某个，因此这段区域是变长的。
之后是OBJECT_HEADER结构，NameInfoOffset、HandleInfoOffset、QuotaInfoOffset分别为 OBJECT_HEADER到OBJECT_HEADER_NAME_INFO、OBJECT_HEADER_HANDLE_INFO、 OBJECT_HEADER_QUOTA_INFO这三个结构的偏移。
WinDBG的“!object”命令可以显示对象的信息：

kd> !object DriverDisk
Object: 8985da08  Type: (898df3b0) Driver
    ObjectHeader: 8985d9f0
    HandleCount: 0  PointerCount: 6
    Directory Object: e1005160  Name: Disk

继续看一下OBJECT_HEADER结构的信息：

kd> dt nt!_object_header 8985d9f0
nt!_OBJECT_HEADER
   +0x000 PointerCount     : 6
   +0x004 HandleCount      : 0
   +0x004 NextToFree       : (null)
   +0x008 Type             : 0x898df3b0 _OBJECT_TYPE
   +0x00c NameInfoOffset   : 0x10 ''
   +0x00d HandleInfoOffset : 0 ''
   +0x00e QuotaInfoOffset  : 0 ''
   +0x00f Flags            : 0x32 '2'
   +0x010 ObjectCreateInfo : 0x00000001 _OBJECT_CREATE_INFORMATION
   +0x010 QuotaBlockCharged : 0x00000001
   +0x014 SecurityDescriptor : 0xe100c843
   +0x018 Body             : _QUAD

在NameInfoOffset中指出OBJECT_HEADER_NAME_INFO的便宜量为0×10，它的地址为OBJECT_HEADER - OBJECT_HEADER.NameInfoOffset，即0×8985d9f0-0×10，继续来看：

kd> dt nt!_object_header_name_info 8985d9f0-0x10
nt!_OBJECT_HEADER_NAME_INFO
   +0x000 Directory        : 0xe1005160 _OBJECT_DIRECTORY
   +0x004 Name             : _UNICODE_STRING "Disk"
   +0x00c QueryReferences  : 1
第三部分就是对象的实体部分（Object Body），根据对象类型的不同，这部分的结构也不相同。日常使用的DRIVER_OBJECT、DEVICE_OBJECT、FILE_OBJECT等等都是Object Body结构，继续回头看一下!object DriverDisk的输出，Object: 8985da08是Object Body部分——DRIVER_OBJECT结构。

kd> dt nt!_driver_object 8985da08
nt!_DRIVER_OBJECT
   +0x000 Type             : 4
   +0x002 Size             : 168
   +0x004 DeviceObject     : 0x89900c68 _DEVICE_OBJECT
   +0x008 Flags            : 0x12
   +0x00c DriverStart      : 0xf7627000
   +0x010 DriverSize       : 0x8e00
   +0x014 DriverSection    : 0x89927a70
   +0x018 DriverExtension  : 0x8985dab0 _DRIVER_EXTENSION
   +0x01c DriverName       : _UNICODE_STRING "DriverDisk"
   +0x024 HardwareDatabase : 0x8068db10 _UNICODE_STRING "REGISTRYMACHINEHARDWAREDESCRIPTIONSYSTEM"
   +0x028 FastIoDispatch   : (null)
   +0x02c DriverInit       : 0xf762e8ab     disk!GsDriverEntry+0
   +0x030 DriverStartIo    : (null)
   +0x034 DriverUnload     : 0xf763e53a     CLASSPNP!ClassUnload+0
   +0x038 MajorFunction    : [28] 0xf763dc30     CLASSPNP!ClassCreateClose+0
kd> !drvobj 8985da08
Driver object (8985da08) is for:
DriverDisk
Driver Extension List: (id , addr)
(f763e3be 8985d8f0)
Device Object list:
89900c68  89896c68  8985ec68  8985cab8
现在有这样一个问题，我们经常使用Object Body的结构，但是要访问OBJECT_HEADER该如何做呢？
OBJECT_HEADER的大小为0×18字节，因此Object Body = OBJECT_HEADER + 0×18，但是0×18是个硬编码值，如果OBJECT_HEADER在以后的系统中发生了变化，显然用这个0×18是不可靠的。
OBJECT_HEADER结构中有一个Body成员，如果执行“dt nt!_OBJECT_HEADER -b”会有以下的输出：

kd> dt nt!_OBJECT_HEADER -b
   +0x000 PointerCount     : Int4B
   +0x004 HandleCount      : Int4B
   +0x004 NextToFree       : Ptr32
   +0x008 Type             : Ptr32
   +0x00c NameInfoOffset   : UChar
   +0x00d HandleInfoOffset : UChar
   +0x00e QuotaInfoOffset  : UChar
   +0x00f Flags            : UChar
   +0x010 ObjectCreateInfo : Ptr32
   +0x010 QuotaBlockCharged : Ptr32
   +0x014 SecurityDescriptor : Ptr32
   +0x018 Body             : _QUAD
      +0×000 DoNotUseThisField : Float

注意斜体字部分。Body成员在OBJECT_HEADER结构中的偏移量实际上就是Object Body到OBJECT_HEADER的偏移量（0×18），它只是作为定位偏移量来使用，因此会有“Do Not Use This Field”的提示。
在WRK的代码中定义了一个宏函数（见 %wrk%basentosincob.h），用于从Object Body访问OBJECT_HEADER结构。

#define OBJECT_TO_OBJECT_HEADER( o ) 
    CONTAINING_RECORD( (o), OBJECT_HEADER, Body )
//
// Calculate the address of the base of the structure given its type, and an
// address of a field within the structure.
//
#ifndef CONTAINING_RECORD
#define CONTAINING_RECORD(address, type, field) 
    ((type *)((PCHAR)(address) - (ULONG_PTR)(&((type *)0)->field)))
#endif

利用OBJECT_TO_OBJECT_HEADER()传递一个Object Body的地址给它（例如，Disk.sys的DriverObject），就可以轻松的得到这个对象的OBJECT_HEADER结构。

最后

以上就是彪壮火龙果为你收集整理的Windows对象 (Object) 结构的全部内容，希望文章能够帮你解决Windows对象 (Object) 结构所遇到的程序开发问题。

如果觉得靠谱客网站的内容还不错，欢迎将靠谱客网站推荐给程序员好友。

本图文内容来源于网友提供，作为学习参考使用，或来自网络收集整理，版权属于原作者所有。
点赞(44)

相关文章

Object.GetType()到底是怎么工作的
Object.GetType()到底是怎么工作的
JAVA对象布局--对象头(Object Header)
JAVA对象布局--对象头(Object Header)
xp与win7中_OBJECT_HEADER的区别，_OBJECT_TYPE获取方法
xp与win7中_OBJECT_HEADER的区别，_OBJECT_TYPE获取方法
x64 Global HANDLE 全局句柄表全局句柄表
x64 Global HANDLE 全局句柄表全局句柄表
Windows对象 (Object) 结构
Windows对象 (Object) 结构
无硬编码获取所有对象类型地址
无硬编码获取所有对象类型地址
利用Volatility进行Windows内存取证分析(二)：内核对象、内核池学习小记
利用Volatility进行Windows内存取证分析(二)：内核对象、内核池学习小记
对象头（Object Header）
对象头（Object Header）

评论列表共有 0 条评论

立即
投稿
返回
顶部