NtDuplicateObject小解读
Posted _Flame
tags:
篇首语：本文由小常识网(cha138.com)小编为大家整理，主要介绍了NtDuplicateObject小解读相关的知识，希望对你有一定的参考价值。
源进程和目标进程可以是一个吗 当然
执行进程可以是同一个吗 ，当然
标志位重要！有一个关闭源进程的标志位
第一步通过ObReferenceHandleTable获得源进程对象（数据结构） //为新的句柄构造适当的访问和属性
如果不是当前就attach（挂靠）到当前进程
第二步ObReferenceHandleTable获得目进程对象//为新的句柄构造适当的访问和属性
如果不是当前就attach（挂靠）到当前进程
第三步 在二者之间ObduplicateObject句柄
第三步第一步（这一步是ObduplicateObject函数里的步骤）：处理源进程如下
先获得源进程句柄表和句柄所代表的对象
第三步第二步：ObduplicateObject函数里的ObReferenceProcessHandleTable()
含义：ObReferenceProcessHandleTable()这个函数里找到源进程句柄表项 然后获得了指针，具体如下
回到ObDupLicateObject-->第三步第三步 操作目标：
处理目标进程的句柄表
第四步：ExCreateHandle()
第五步：
以上是关于NtDuplicateObject小解读的主要内容，如果未能解决你的问题，请参考以下文章