win10 1909 逆向----ExpLookupHandleTableEntry(从句柄表里寻找对象)

1。HANDLE是以4个字节为倍数递增,IDLE的PID为0,SYSTEM进程的PID=4。

2.   PspCidTable为全局句柄表,ObpKernelHandleTable为内核句柄表,不是一个概念,但是和我上一篇文章如何解析内核句柄表过程是一样的,有一点区别是解密后PspCidTable得到提Object,ObpKernelHandleTable得到提Object_Header。

      PspCidTable里面记录的是所有进程和线程的信息。

      ObpKernelHandleTable里面记录的是所有驱动打开或者创建的对象信息。

3. 拿PspCidTable手动解析,以印证逆向的真实性。

通过+0x008 TableCode : 0xffff810c`666ff001,这个001,我们可以得知这是二层结构,我们得到第一层的地址。

再来得到第二层的_HANDLE_TABLE_ENTRY,一项占0x10个字节,第0项和最后一项是不使用的:

开始解析:

由于TypeIndex  是加密的,那我们拿System进程的信息和句柄号为4来进行对比是不是一个。

至此,确定无误。

 

 

發表評論
所有評論
還沒有人評論,想成為第一個評論的人麼? 請在上方評論欄輸入並且點擊發布.
相關文章