win32进程概念之句柄表,以及内核对象.

Posted 2021-01-03 ibinary

tags:

篇首语：本文由小常识网(cha138.com)小编为大家整理，主要介绍了win32进程概念之句柄表,以及内核对象.相关的知识，希望对你有一定的参考价值。

　　　　　　　　　　句柄表跟内核对象

一丶什么是句柄表什么是内核对象.

1.句柄表的生成

我们知道.我们使用CreateProcess 的时候会返回一个进程句柄.以及线程句柄. 其实在调用CreateProcess的时候.内核中会新建一个EPROCESS结构来存储我们的进程信息.

例如如下图:

　　技术分享图片

但是有一个问题.怎么给三环使用.难道直接返回EPROCESS?

其实不是这样的. 第一EPROCESS在高两G. 三环程序是不可以访问的.所以返回的地址是高两G所以不能使用. 但是为了解决这一问题.

windows创建了一个表格. 返回这个表格的索引. 而我们使用的就是这个索引.

2.什么是内核对象.

内核对象就是我们上面所说的EPROCESS. 有很多内核对象.具体可以看下CloseHandle. 这个API表示他可以关闭什么内核对象.

Access token
Communications device
Console input
Console screen buffer
Event
File
File mapping
I/O completion port
Job
Mailslot
Memory resource notification
Mutex
Named pipe
Pipe
Process
Semaphore
Thread
Transaction
Waitable timer

可以操作事件文件互斥体线程. 等等....

二丶多进程共用内核对象

1.第一种方法. 使用OpenProcess

在windows程序中.我们操作的都是内核对象. 我们可以通过OpenProcess API来打开一个已有进程的内核对象.

如下图:

　　技术分享图片

每个进程里面的句柄表都是私有的. 例如第一张表. 句柄索引位1. 对应内核对象为A. 那么将索引传给B进程是没用用的.

B进程只有使用API打开之后才能获得 A内核对象.

其中中间的紫色表代表引用计数. 也就是说这个内核对象引用一次这个值则会+1

而CloseHandle作用就是使内核对象的引用计数-1 如果都关闭了.那么此时内核对象没有人使用. 也没有执向了.所以就会销毁这个内核对象了.也就是说.当内核对象的引用计数位为0了.那么此时的内核对象

才是真正的销毁.

而线程是特例: 当线程的内核对象引用计数为0的时候也不会关闭. 此时必须先关闭线程.在使用CloseHandle 是引用计数 -1才可以.

2.使用继承句柄技术

在windows程序中. A创建 B .或者带有内核对象的 API在创建的时候. 都有一个SD属性.也就是安全属性.这个属性可以表示你创建的这个句柄是否可以继承.

例如:

　　CreateEvent()创建事件. 先不用管API的作用.我们看下API的参数吧.

HANDLE CreateEventA(
  LPSECURITY_ATTRIBUTES lpEventAttributes,     安全属性结构体 主要介绍他
  BOOL                  bManualReset,
  BOOL                  bInitialState,
  LPCSTR                lpName
);

第一个就是安全属性结构体.如果我们不指定.默认就是父进程的.

安全属性结构体.

typedef struct _SECURITY_ATTRIBUTES {
  DWORD  nLength;                                         当前结构体大小.windows扩展使用的
  LPVOID lpSecurityDescriptor;                        表明这个句柄给谁用谁可以访问.谁可以关闭.不重要 具体可以看下API中的结构体的定义.不重要不列出来了.
  BOOL   bInheritHandle;                                重要.表明句柄是否可以被继承.
} SECURITY_ATTRIBUTES, *PSECURITY_ATTRIBUTES, *LPSECURITY_ATTRIBUTES;

如下图所示:

技术分享图片