解读OBJ_KERNEL_HANDLE

最新推荐文章于 2024-11-01 16:02:04 发布

转载最新推荐文章于 2024-11-01 16:02:04 发布 · 2.4k 阅读

本文深入解析了在创建文件对象时使用宏InitializeObjectAttributes初始化OBJECT_ATTRIBUTES结构体时，设置属性中OBJ_KERNEL_HANDLE的意义。解释了不包含此掩码时，句柄在当前上下文所属进程句柄表中的行为；以及包含此掩码时，句柄在系统上下文句柄表中的特性，强调了其对于跨进程访问的重要性。

我们在创建文件对象时，会使用宏InitializeObjectAttributes初始化OBJECT_ATTRIBUTES结构体，InitializeObjectAttributes声明如下：

VOID 
  InitializeObjectAttributes(
    OUT POBJECT_ATTRIBUTES  InitializedAttributes,
    IN PUNICODE_STRING  ObjectName,
    IN ULONG  Attributes,
    IN HANDLE  RootDirectory,
    IN PSECURITY_DESCRIPTOR  SecurityDescriptor
    );

其中属性Attributes可以设置OBJ_KERNEL_HANDLE，这个常量值代表什么意思呢？

若属性中不包括这个掩码，则创建的句柄属于当前上下文所属进程的句柄表中，若包括此掩码，创建的句柄属于系统上下文句柄表中（也可以叫全局句柄表吧），且不可被用户模式程序访问。假设对象属性不包含OBJ_KERNEL_HANDLE，进程A访问属于进程B的句柄，估计蓝屏（没测过)，至少不会有正确的结果，所以一般情况下的设置为OBJ_CASE_INSENSITIVE|OBJ_KERNEL_HANDLE。