(转)关于SYSTEM_HANDLE_TYPE

http://hi.baidu.com/_achillis/item/98003737be6760f2a9842817

　　今天写程序，用ZwQuerySystemInformation枚举系统中的文件句柄时出了问题，死活一个都找不到，可是这明显不可能啊？于是用Process Explorer随便找了个文件句柄对象，然后看了它的OBJECT_TYPE，才发现文件句柄的类型索引应为28，而我用的是炉子给的那个SYSTEM_HANDLE_TYPE表，里面给的值却是26!怪不得一个也找不到呢。于是，就花了点时间把这个类型索引给修正了一下，并且把几个UNKNOW的给补充了出来，以后用起来就方便了嘛~

所谓的句柄索引，其实就是下面这个句柄信息结构中的ObjectTypeNumber：

typedef struct _SYSTEM_HANDLE_INFORMATION
{
　　ULONG ProcessId;
　　UCHAR ObjectTypeNumber;//其实就个
　　UCHAR Flags;
　　USHORT Handle;
　　PVOID Object;
　　ACCESS_MASK GrantedAccess;
} SYSTEM_HANDLE_INFORMATION, *PSYSTEM_HANDLE_INFORMATION;

而这个东西，也就是OBJECT_TYPE结构中的Index而已，所以叫它索引......

typedef struct _OBJECT_TYPE
{
　　ERESOURCE Mutex;
　　LIST_ENTRY TypeList;
　　UNICODE_STRING Name;            // Copy from object header for convenience
　　PVOID DefaultObject;
　　ULONG Index;
　　ULONG TotalNumberOfObjects;
　　ULONG TotalNumberOfHandles;
　　ULONG HighWaterNumberOfObjects;
　　ULONG HighWaterNumberOfHandles;
　　OBJECT_TYPE_INITIALIZER TypeInfo;
#ifdef POOL_TAGGING
　　ULONG Key;
#endif //POOL_TAGGING
　　ERESOURCE ObjectLocks[ OBJECT_LOCK_COUNT ];
} OBJECT_TYPE, *POBJECT_TYPE;

下面给出我修正后的，也补充了一些内容：

typedef enum _SYSTEM_HANDLE_TYPE
{
    OB_TYPE_UNKNOWN=0,   //0
    OB_TYPE_TYPE,    // 1,fixed
    OB_TYPE_DIRECTORY,   // 2,fixed
    OB_TYPE_SYMBOLIC_LINK, // 3,fixed
    OB_TYPE_TOKEN,    // 4,fixed
    OB_TYPE_PROCESS,   // 5,fixed
    OB_TYPE_THREAD,    // 6,fixed
    OB_TYPE_JOB,    // 7,fixed
    OB_TYPE_DEBUG_OBJECT, // 8,fixed
    OB_TYPE_EVENT,    // 9,fixed
    OB_TYPE_EVENT_PAIR,   //10,fixed
    OB_TYPE_MUTANT,    //11,fixed
    OB_TYPE_CALLBACK,   //12,fixed
    OB_TYPE_SEMAPHORE,   //13,fixed
    OB_TYPE_TIMER,    //14,fixed
    OB_TYPE_PROFILE,   //15,fixed
    OB_TYPE_KEYED_EVENT, //16,fixed
    OB_TYPE_WINDOWS_STATION,//17,fixed
    OB_TYPE_DESKTOP,   //18,fixed
    OB_TYPE_SECTION,   //19,fixed
    OB_TYPE_KEY,    //20,fixed
    OB_TYPE_PORT,    //21,fixed 
    OB_TYPE_WAITABLE_PORT, //22,fixed
    OB_TYPE_ADAPTER,   //23,fixed
    OB_TYPE_CONTROLLER,   //24,fixed
    OB_TYPE_DEVICE,    //25,fixed
    OB_TYPE_DRIVER,    //26,fixed
    OB_TYPE_IOCOMPLETION, //27,fixed
    OB_TYPE_FILE,    //28,fixed
    OB_TYPE_WMIGUID    //29,fixed
}SYSTEM_HANDLE_TYPE;

　　这回就全了。网上找了一下，用到这个枚举的基本都和炉子的LzOpenProcess有关，而那里面只用了OB_TYPE_PROCESS，而这个是对的，其它的估计也没多少人注意，也没什么人用到，所以网上传的基本都是炉子那个不完全正确版本。

　　ps:后来仔细在WRK中看了一下这个Index 的生成过程，又学到点新东西，原来对象类型也是一种对象，叫做ObpTypeObjectType，就像我们熟知的PsProcessType，PsThreadType一样。而这个索引并不是固定的，而是系统根据需要调用ObCreateObjectType时动态生成的（不过对于某一固定版本的系统，这个应该是固定的吧），所以ObpTypeObjectType的对象计数就是系统中所有对象类型的个数......

　　最后声明一下，这个类型表是我在XP SP2下搞出来的，谁有时间帮我验证下在别的系统上对不对~(估计在Vista下肯定不对，系统差距太大了)