《Windows核心编程》第3章——深入理解handle

Posted _No.47

tags:

篇首语:本文由小常识网(cha138.com)小编为大家整理,主要介绍了《Windows核心编程》第3章——深入理解handle相关的知识,希望对你有一定的参考价值。

本文借助windbg来理解程序中的函数如何使用handle对句柄表进行查询的。所以先要开启Win7下Windbg的内和调试功能。

  • 解决win7下内核调试的问题
win7下debug默认无法进行内核调试(!process等命令无法使用),除非是双机调试。或改用livekd进行调试。
尝试http://blog.csdn.net/hutao1101175783/article/details/50522767中提出的方法,开启windbg的内和调试功能:

重启之后开启Local Kernel Debugging:

开启成功:

加载符号表之后,就可以使用!process命令了:

 

  • 解决windbg源码调试的问题:

 添加源文件路径:

 

开启源码级别的调试:

给TestHandle.exe的main函数下断点:
运行后自动弹出源码调试:

 

  • 研究句柄 

 再开一个windbg用内核调试。!process 0 0 命令找到TestHandle.exe的信息:

查看这个进程的所有句柄信息(同时也显示出了OBJECT的信息,来给我们提供验证):

 

下面,借助对TestHandle.exe的调试我们知道38号句柄是hEvent:

查看0x38号句柄的信息(这个信息被我当做“结果”来验证我的“推理”过程):

  • 推理步骤

 查看TestHandle的EProcess结构:

 

得到TableCode,这个值指向一级、二级或三级句柄表(具体是几级句柄表由末尾数决定):

 

根据低两位判断句柄表的层级。TableCode低位是1,说明是一个二级句柄表(可以参考这个文章的分析:https://www.cnblogs.com/lsh123/p/7296423.html):

 
这里显示了两个一级句柄表
不同级别的句柄表可以参考文章:https://www.2cto.com/kf/201609/543902.html
和图:

那么句柄值乘以4再加上fffff8a0`19ca8000就是指向对应的handle_table_entry://为什么这里要乘以4?句柄是0x38,索引就是0x38/4,又由于每个handle_table_entry的大小是16字节。那么为什么索引是0x38/4?后面会回答

 找到对应的handle_table_entry:

其中fffffa80`11399951 就是Object指针,偏移0x30-1就可以定位到OBJECT:

 

因为是在64位系统下,所以偏移是0x30-1,偏移发生了变化(32位系统下就是0x17):

这样就通过句柄取到了内核对象,整个流程思路参考了:http://www.cppblog.com/sleepwom/archive/2011/10/19/72591.html
并参考了图片:

 

  •  handle的类型

 

在WinNT.h中定义的handle是这样的:
typedef void* handle;

 

而DECLARE_HANDLE(HWND);就是:
  struct HWND__ { int unused;};
  typedef struct HWND__ *HWND;
所以DECLARE_HANDLE的作用就是将name定义为一个指向结构体的指针。
handle是一个无类型指针,而HWND是一个指向结构体的指针。
Handle是一个void存储着一个整形数据类型作为“伪索引”。

 

这里的handle就是我们本例中传入的0x38。ExMapHandleToPointer 中又会调用ExpLookupHandleTableEntry。
在使用句柄去查找进程的句柄表时会调用函数ExpLookupHandleTableEntry,其原型如下:

 

参数 HandleTable 是查找目标所在的 Handle table 地址,而 tHandle 是结构化的 Handle 值。参考:http://www.mamicode.com/info-detail-1539980.html
handle与exhandle的关系如下:
这个 tHandle 结构将 Handle 值分为几个部分,如下图所示:

 

这个 TagBit 值占两位(bit 0 到 bit 1),被清为 0 值。因此:tHandle.Value 值就是对齐在 4 bytes 边界上。(出于某种原因)使用高30位作为索引来查找句柄表,低两位的存在没有意义。参考:https://www.cnblogs.com/ck1020/p/5897460.html

 现在低两位没有意义不代表将来低两位没有意义,handle的含义和使用可能在未来发生变化。

 

以上是关于《Windows核心编程》第3章——深入理解handle的主要内容,如果未能解决你的问题,请参考以下文章

《深入理解SPARK:核心思想与源码分析》——SparkContext的初始化(中)

深入理解计算机系统(第二版)----之一

《Windows核心编程》第3章——handle复制相关实验

TaskScheduler的启动

SparkContext的初始化(叔篇)——TaskScheduler的启动

Windows核心编程:第11章 Windows线程池