内核对象(Windows内核学习笔记)

最新推荐文章于 2025-03-14 14:00:02 发布

KookNut39

最新推荐文章于 2025-03-14 14:00:02 发布

阅读量508

点赞数

分类专栏： Windows开发

本文链接：https://blog.youkuaiyun.com/qq_42253797/article/details/105360758

版权

Windows开发专栏收录该内容

63 篇文章 ¥19.90 ¥99.00

订阅专栏

超级会员免费看

本文介绍了Windows内核对象的概念，强调了对象与句柄的区别，以及对象头和对象体的结构。通过汇编代码解析了`ObGetObjectType`的实现，并详细阐述了查找对象体的过程。还提及了对象目录的树状结构，以及命名对象如何进入对象目录。最后提到了对象目录中使用ChainLink的组织方式。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

对象，是一个特殊的数据结构，用来定义受保护得实体，我们平时所说得对象实际上是对象体，例如进程对象，就是EPROCESS。所以内核对象不能直接被用户层进行操作，那我们只能通过句柄。句柄是一个指向对象得指针。对象具有唯一性，但是句柄可以有多个，也就是说一个对象可以有多个句柄来引用它，对它进行操作。用来管理命名对象的东西，叫做对象目录，对象目录我在后面会做介绍。
对象中最重要的两个结构成员
对象头：
OBJECT_HEADER
对象体：没有固定的大小，会根据对象类型的不同而不同。

0: kd> dt _OBJECT_HEADER
nt!_OBJECT_HEADER
   +0x000 PointerCount     : Int4B//对象的引用计数，若为0，

了解本专栏

订阅专栏解锁全文

超级会员免费看

确定要放弃本次机会？

福利倒计时

: :

立减 ¥

普通VIP年卡可用

立即使用

KookNut39

关注关注

0
点赞
踩
0

收藏

觉得还不错? 一键收藏
0
评论
分享

复制链接

分享到 QQ

分享到新浪微博

扫一扫
打赏
打赏
打赏举报

举报

专栏目录

订阅专栏

Windows内核学习：OS体系结构

shenzi的天空

09-17

7037

作者：shenzi链接：http://blog.youkuaiyun.com/shenziWindows内核学习：OS体系结构Windows发展史 Windows NT(New Technology)是Windows核心内核，Windows操作系统的演化也就是Windows NT内核的演化。我们最为熟悉的Windows XP系统是基于NT5.1内核

WINDOWS内核对象

最新发布

fenfenfen520a的博客

03-14

什么是内核对象内核对象本质上就是内存中的一块内存，这块内存由操作系统进行管理和分配，任何应用程序都无法直接操作这块内存区域。至于内核对象的作用，我们暂且不说，这里只需要直到它是内存中的一块内存。在内存中，内核对象的存储类似下图，进程中的每个内核对象都有自己的地址，并且内核对象有一个固定的数据结

windows 内核对象

12-19

915

Windows内核资源列表单地说: 内核对象是系统的一种资源。系统对象一旦产生，任何应用程序都可以开启并且使用该对象。系统给内核对象一个计数值作为管理只用，内核对象包括：　event,mutex,semaphore,file,file-mapping,preocess,thread.这些内核对象每次产生都会返回一个handle,作为标

windows内核对象

weixin_30521649的博客

03-31

117

Windows内核对象简介

不断的谦逊，不断的努力

12-08

853

内核对象只是操作系统内核分配的一个内存块，并且只能由操作系统内核访问。该内存块是一种数据结构，它的成员负责维护该对象的各种信息。Windows提供一组函数创建和操作内核对象。调用一个创建内核对象的函数，函数会返回一个句柄，该句柄标识了这个内核对象，这个句柄可由当前进程中的所有线程调用。也可以通过跨进程边界共享内核对象，让其他的进程调用。使用计数。内核对象有个使用计数数据成员，标识内核对象被

windows内核对象学习

程序员沙子的专栏

09-23

1065

何为内核对象和句柄： Windows程序开发，需要创建和操作内核对象。内核对象的本质是一个内存块，由操作系统的内核进行分配，并且只可以由操作系统内核来访问。这个内存块存放一个特定的数据结构，结构成员维护与对象相关的信息。我们的应用程序无法直接访问这个数据结构，需要调用特定的函数，这些特定的函数将操作这些数据结构。在创建内核对象的函数返回时，都会得到一个handle（句柄），句柄标示一个内核对象，

windows笔记-内核对象

weixin_30954265的博客

08-31

157

有哪些内核对象？如下：存取符号对象、事件对象、文件对象、文件映射对象、I / O 完成端口对象、作业对象、信箱对象、互斥对象、管道对象、进程对象、信标对象、线程对象和等待计时器对象等。这些对象都是通过调用函数来创建的。什么是内核对象？内核对象只是内核分配的一个内存块，并且只能由该内核访问。该内存块是一种数据结构，它的成员负责维护该对象的各种信息。有些数据成员（如安全性描述符、使用...

Windows 内核研究学习全资料精华

07-23

想深入理解windows内核机制的一些好资料集结。通过这些，可以让我们从内核理解windows的行为和机制。对以后的编程和项目有很大的帮助。也是走向“高手”的必读！

Windows内核学习（1）

Air_cat的博客

11-12

389

Windows内核学习内存、进程、线程、I/O等核心体设备驱动硬件抽象层（HAL）内存布局 2GB内核空间 0xffffffff 64kb非法空间 0X7FFFFFFF 进程空间 0X7FFF000 64kbNULL空间 ...

Windows内核学习：I/O系统

shenzi的天空

10-12

5830

作者：shenzi链接：http://blog.youkuaiyun.com/shenziWindows内核学习：I/O系统1.I/O系统组件 Windows的I/O系统如图1所示，由几个可执行模块和设备驱动程序组成。图1：I/O系统组件I/O管理器将应用程序和系统组件连接到虚拟的、逻辑的以及物理的设备上

Windows系统架构(winddows内核学习)

u013677637的博客

07-04

5976

1.strcat_s要求字符串数组不能是未进行任何操作的比如char szText[256]； char szTemp[256]=“hahahah”； strcat(szText,szTemp);会报错

Windows内核学习笔记（一）

Christine2008的专栏

11-19

808

Windows采用了双内核结构,操作系统核心运行在内核模式下,应用程序运行在用户模式下。当应用程序需要用到内核或内核扩展模块的服务时，使用硬件指令从用户模式切换至内核模式，等服务完成再切回用户模式。Ｗindows支持多环境子系统，除了Ｗindows子系统外，还支持ＰＯＳＩＸ和ＯＳ／２环境子系统。

内核句柄表(Windows内核学习笔记)

KOOKNUT的博客

04-05

892

每个有效的句柄都对应着句柄表中的一个表项，表项在句柄表中的位置取决于句柄的值。每当进程创建或者打开一个对象，要为之创建句柄并将其插入句柄表的时候，需要一个临时的HANDLE_TABLE_ENTRY数据结构，用ExCreateHandle将其安装到句柄表中，而该函数返回句柄，句柄的值表明了安装的位置，也是目标表项在句柄表中的下标。

初窥Windows内核——学习Windows Research Kernel手记（一）

SaiCT的专栏

12-19

8797

小序当初只是抱着试一试的想法去找老师的，结果就这么开始了。从一开始拿到Windows Research Kernel（以后简称WRK）我就知道这些材料，包括源码、文档、实例范例等等，都是十分难得的。使用是有限制的，只能用于教学研究，微软对于这些是有版权的，我们都要遵循其协议的要求种种。其实老师也说过，他自己对这个版权上的事也不是很清楚。那我当然就更不清楚了。大概知道不能用于商业，最

初窥Windows内核——学习Windows Research Kernel手记（四）

SaiCT的专栏

12-20

3808

STEP3——记录/恢复用户栈有了前面的基础，要完成用户栈的记录也不是难事了。基本思路就是想办法找到用户栈的栈底地址，再找到栈顶地址，计算出栈的大小，然后调用函数PspRecordOrCopyData即可。栈顶的地址是由栈顶指针esp寄存器保存的。前面已经说过，在系统调用时，使用的是内核栈，所以当前的esp寄存器并不是我们所期望的。那么这个栈顶地址应该去哪儿找呢