14、Windows系统机制：对象过滤与同步技术解析

Windows系统机制：对象过滤与同步技术解析

1. 对象过滤

Windows在对象管理器中包含了一个过滤模型，类似于文件系统微过滤器模型和注册表回调机制。该过滤模型的主要优点之一是能够利用现有过滤技术所使用的高度概念，这意味着多个驱动程序可以在过滤堆栈的适当位置过滤对象管理器事件。

1.1 驱动程序的拦截与修改

驱动程序被允许拦截诸如 NtOpenThread 和 NtOpenProcess 之类的调用，甚至可以修改从进程管理器请求的访问掩码。这有助于防止对打开句柄的某些操作，例如阻止恶意软件终止良性安全进程，或阻止密码转储应用程序获取LSA进程的读取内存权限。但由于兼容性问题，打开操作不能完全被阻止，例如要确保任务管理器能够查询进程的命令行或映像名称。

1.2 预回调和后回调

驱动程序可以利用预回调和后回调，这使它们能够在操作发生之前进行准备，并在操作发生之后做出反应或完成信息处理。这些回调可以针对每个操作（目前仅支持打开、创建和复制）和每个对象类型（目前仅支持进程、线程和桌面对象）进行指定。对于每个回调，驱动程序可以指定自己的内部上下文值，该值可以在对驱动程序的所有调用中或在预/后回调对中返回。

1.3 API的注册与注销

这些回调可以使用 ObRegisterCallbacks API进行注册，并使用 ObUnregisterCallbacks API进行注销，驱动程序有责任确保进行注销操作。

1.4 API使用的限制

使用这些API的映像必须